Запуск второго VPN заменяет состояние первого

Два клиента, два значка подключения и убеждение, что трафик теперь идёт через оба. Сравните это убеждение с тем, что на самом деле разрешает каждая платформа. На телефоне обычно есть ровно одно место для службы VPN; на настольном компьютере могут работать несколько клиентов, которые борются за одни и те же маршруты и один и тот же резолвер. Разница между этими двумя ситуациями объясняет большинство сообщений о том, что VPN отключается, когда запускается другой.

Значки описывают процессы, а не цепочку.

Одно место на телефоне, несколько претендентов на компьютере

В Android платформа предлагает модель службы VPN с одним активным VPN на профиль пользователя, поэтому запуск второй останавливает первую. Это система применяет собственное правило, а не ошибка в каком-либо клиенте. На настольном компьютере несколько клиентов могут работать одновременно, и тогда они конкурируют за таблицу маршрутизации, правила политики, конфигурацию резолвера и виртуальные интерфейсы. Оба результата — это платформа, работающая как задумано.

Ни один из результатов сам по себе не создаёт вложенный туннель. Цепочка требует, чтобы один туннель нёс зашифрованные пакеты другого, а это архитектура, а не случайность порядка.

Что перезаписывает второй клиент

Второй клиент обычно устанавливает маршрут по умолчанию, добавляет свои правила и продвигает свой резолвер. Первый может остаться процессом без трафика или сохранить маршрут, который больше не выигрывает. Маршруты для конкретных доменов обычно становятся жертвой, поэтому одни назначения продолжают работать, а другие нет. Видимый симптом — отключение, а фактическое состояние — частичная замена.

Проверка IP-адреса выхода этого не выявит. Она сообщает один адрес для одного назначения и ничего не говорит о том, какие маршруты были перезаписаны или какой резолвер теперь отвечает. Чтобы увидеть ущерб, прочитайте таблицу маршрутизации и состояние резолвера.

Вложение — это проект, а не порядок кликов

Если вложение задумано, задокументируйте внешний путь каждой конечной точки, её политику отказа и последствия для MTU. Решите, что происходит, когда внешний туннель падает, а внутренний всё ещё считает себя подключённым. Запуск клиентов в удачном порядке не является конфигурацией, потому что следующее обновление или переподключение меняет их порядок. Вложенное расположение требует такой же заботы, как любая другая топология.

Когда одно подключение для работы, а другое личное, полагайтесь на любую изоляцию или управляемое расположение, которое поддерживает платформа. Вырывание корпоративных средств контроля не является стратегией разделения.

Проверяйте приложением, а не значком

Проверяйте приложения, которые действительно важны, из каждого контекста, который вы собираетесь использовать, и включите в тест поведение резолвера и переподключения. Конечный адрес выхода не может определить каждый перезаписанный маршрут, а зелёный значок не может определить ни один из них. Запишите, кому принадлежит подключение и какая комбинация действительно поддерживается.

Если продукт явно не поддерживает сосуществование с другим, случайное изменение маршрута или разрешения не создаст поддерживаемое развёртывание. Оно создаст такое, которое работает до следующего обновления.

Запишите, какой клиент владеет маршрутом по умолчанию, какой резолвер отвечает и что происходит, когда каждый из них останавливается.