Zašto lokalna ruta pobeđuje podrazumevanu VPN rutu

Štampač na stolu nastavlja da radi nakon što se tunel podigne, dok se server u drugoj kancelariji tiho razrešava na nešto lokalno. Oba ponašanja dolaze iz istog pravila: najspecifičnija ruta pobeđuje, a direktno priključeni prefiks je najspecifičniji mogući. To je obično dizajn koji želite, a upravo tako duplikat privatnog opsega ukrade udaljenu adresu. Čitanje izbora kernela prvo pretvara tajanstveni kvar u poređenje prefiksa.

Povezani prefiks je specifičniji od podrazumevane rute

Tunel obično instalira podrazumevanu rutu ili skup prefiksa, dok lokalni interfejs nosi povezani prefiks plus rutu do cele LAN mreže. Između njih odlučuje podudaranje najdužeg prefiksa, pa odredište unutar LAN prefiksa nikada ne stiže do tunela. Zato štampač, administratorska stranica rutera i lokalni NAS ostaju dostupni dok je VPN aktivan. Zato i udaljeni resurs unutar opsega koji se preklapa odlazi na pogrešnu mašinu.

Privatni adresni prostor nije jedinstven, a dva lokaliteta koja biraju isti prefiks dovoljno su česta pojava da se planiraju. Kada se opsezi preklope, lokalni odgovor stiže brzo i izgleda autoritativno, pa se kvar lako pogrešno pročita kao problem sa prijavom. Odredište je odgovorilo, samo ne ono koje ste mislili.

Pročitajte izbor koji bi kernel napravio

Pitajte kernel koju bi rutu koristio za tačno odredište umesto da čitate tabelu odozgo. Zatim potražite pravila politike koja bi mogla izabrati drugu tabelu. Dve komande odgovaraju na oba pitanja u nekoliko sekundi.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Prvi izlaz navodi interfejs, sledeći skok i izvornu adresu koju bi kernel koristio, i to je odgovor koji je važan. Vrednost dev koja pokazuje na lokalni most znači da paket nikada ne ulazi u tunel, šta god tvrdi statusni panel VPN klijenta. Filtrirani spisak tabela pokazuje drži li druga tabela isti prefiks, a spisak pravila pokazuje redosled kojim se te tabele konsultuju. Pravilo politike može poslati prefiks kroz određenu tabelu čak i kada se glavna tabela ne slaže, pa je taj redosled deo odgovora.

Lokalni pristup je zasebna dozvola

Imati rutu nije isto što i imati dozvolu da je koristite. Većina klijenata može blokirati lokalnu mrežnu komunikaciju dok je tunel aktivan, a to podešavanje je odluka politike, a ne artefakt rutiranja. Kada pouzdana obližnja usluga pripada dizajnu, uključite podržanu opciju lokalnog pristupa umesto da izmišljate rute. Kada je uređaj na javnom Wi-Fi-ju, ostavite je isključenu.

Dva sloja otkazuju različito. Blokiran lokalni put daje istek vremena iako ruta postoji, dok ruta koja se preklapa daje odgovor sa pogrešnog hosta. Razlikovanje zahteva jedan upit i štedi popodne izmena firewall pravila, a raspored prosleđivanja opisan je u strongSwanove beleške o prosleđivanju.

Popravite preklapanje bez gomilanja host ruta

Host ruta za jednu adresu izgleda kao da popravlja preklapanje i pada u trenutku kada zatreba druga adresa iz istog opsega. Dvadeset takvih kasnije, niko ne može reći koji je prefiks merodavan. Trajna rešenja su promena adresiranja, dokumentovana topologija koja izbegava duplikat opsega ili prevođenje na jednom kraju. Svako košta vreme planiranja jednom, umesto održavanja zauvek.

Ako je privremena host ruta zaista potrebna, zapišite razlog, vlasnika i datum pored nje da bi se kasnije mogla ukloniti. Zatim testirajte tačnu adresu i uslugu plus javno odredište, jer promena lokalnog pristupa koja tiho isključuje nepovezane aplikacije iz tunela gora je od prvobitnog kvara. Držite lokalni prefiks i udaljeni prefiks odvojeno zapisane; ta navika sprečava da se radni lokalni ping prenosi kao dokaz da je udaljena kancelarija dostupna.