VPN metrika rute se promijenila nakon povezivanja: šta to znači
Niža metrika samo razrješava izjednačenje između jednako specifičnih ruta. Pročitajte pravilo politike, prefiks i host rutu krajnje točke prije nego što uredite bilo koji broj VPN rute.
Povežete VPN, pokrenete route print i zadana ruta sada nosi mnogo nižu metriku nego prije. Prirodan zaključak je da je VPN preuzeo zadanu rutu jer je njen broj manji. Ponekad se upravo to dogodilo. Često metrika uopće nije odlučujući faktor i njeno uređivanje ništa ne mijenja, jer je izbor napravljen ranije, dužinom prefiksa ili pravilom politike.
Simptom je stvaran: promet koji je izlazio kroz Wi-Fi adapter sada izlazi kroz tunel, ili obrnuto. Metrika je jedan ulaz u pretragu koja se izvodi u fiksnom redu, a taj red treba pročitati prije nego što dirnete broj.
S čim se broj zapravo takmiči
Prvo poređenje je specifičnost, ne sklonost. Ruta za 10.20.0.0/16 pobjeđuje 10.0.0.0/8, a obje pobjeđuju 0.0.0.0/0, šta god njihove metrike govorile. VPN koji instalira zadanu rutu s najnižom metrikom na računaru ipak gubi od svake specifičnije rute koja odgovara odredištu, uključujući host rutu koju klijent instalira za svoj vlastiti server.
Zato snižavanje metrike na zadanoj ruti ne može natjerati direktno povezanu podmrežu u tunel. Ako tu podmrežu želite unutar VPN-a, dodajte rutu za prefiks ili odaberite tablicu tunela pravilom politike. Metrika je pogrešna poluga za taj posao.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Linux odlučuje o tablici prije metrike
Na Linuxu kernel najprije konsultuje bazu politika. ip rule navodi pravila i tablice koje ona biraju, a ip route get 203.0.113.10 prikazuje tablicu, rutu i izvornu adresu koju bi kernel stvarno koristio za to odredište. Metrika unutar tablice 100 nikada se ne takmiči s rutom u glavnoj tablici, jer je pravilo odabralo tablicu prije nego što je ikakva metrika upoređena.
Zato ruta može izgledati ispravno u ip route show table all i ipak ne nositi promet. Pročitajte pravilo koje se poklopilo, zatim tablicu koju je ono odabralo, zatim uporedite rute unutar nje. Ako je odabrana pogrešna tablica, nikakvo uređivanje metrike u drugoj tablici neće pomoći.
Windows kombinuje dvije metrike
Windows prema zadanim postavkama nema bazu politika, ali kombinuje metriku rute s metrikom interfejsa, a automatska metrika interfejsa može se mijenjati s brzinom veze i stanjem adaptera. Zato se ista ruta može ponašati drugačije nakon što se pojavi docking stanica ili virtuelni adapter. Find-NetRoute -RemoteIPAddress 203.0.113.10 prikazuje odabranu izvornu adresu, sljedeći hop i interfejs, što je bliže stvarnoj odluci od sirove tablice.
Čitajte vrijednosti rute i interfejsa zajedno. Podizanje metrike interfejsa može pomjeriti promet bez ijedne promjene unosa rute, a VPN klijent koji posjeduje svoje rute ponovo će ih instalirati pri ponovnom povezivanju i odbaciti vaše uređivanje.
Držite krajnju točku tunela izvan tunela
Svaki tunel treba put do svog servera koji ne ide kroz tunel. Klijenti instaliraju host rutu za krajnju točku kroz fizički gateway, a ta ruta mora ostati specifičnija od zadane koju klijent dodaje. Obrišite je ili pustite tunel da pobijedi u pretrazi za tu adresu, i enkapsulirani paketi pokušat će ući u tunel koji bi trebali graditi. Veza pada ili ulazi u petlju.
Provjerite tu host rutu prije i poslije svake promjene metrike: treba pokazivati na fizički sljedeći hop i preživjeti ponovno povezivanje. Ako je klijent posjeduje, promijenite profil ili upravljanu konfiguraciju umjesto runtime vrijednosti koja će biti prepisana.
Provjerite obje adresne familije i kontekst aplikacije
IPv4 i IPv6 su odvojene odluke s odvojenim tablicama. VPN može nositi IPv4 dok IPv6 nastavlja koristiti lokalni ruter, a promjena metrike u jednoj familiji ne govori ništa o drugoj. Provjerite oboje, zatim provjerite kontekst aplikacije. Proces vezan za interfejs, kontejnerski namespace ili VPN po aplikaciji može vidjeti drugačiju tablicu od vaše ljuske.
Provjerite alatom koji izvještava odluku za stvarno odredište, ne punim popisom tablice. Ako je odabrana ruta ona koju dizajn predviđa, stanite. Metrika koja nije najmanji broj na ekranu nije kvar, a prisiljavanje da bude najmanja može slomiti put do krajnje točke o kojem tunel zavisi.