Dva VPN klienti, jedna smerovacia tabuľka: kto získa predvolenú trasu

Vyzerá to, že dvaja VPN klienti bojujú o ten istý socket, a zrejmou opravou musí byť odinštalovať jedného. V praxi sa málokedy dotknú toho istého socketu. Každé pripojenie prepíše smerovaciu tabuľku operačného systému a profil plného tunela si nárokuje predvolenú trasu. Zvyčajne vyhrá ten, kto sa pripojil naposledy, a preto sa zdá, že sa príznak presúva medzi klientmi.

Konflikt žije v smerovacej tabuľke

Virtuálny adaptér plus predvolená trasa – tak plný tunel zachytí premávku. Keď druhý klient nainštaluje svoju predvolenú trasu, starší záznam sa nahradí alebo sa zníži metrikou, a každý cieľ teraz putuje novším tunelom. Prvý klient zostáva pripojený a stále ukazuje zelenú ikonu, takže rozhranie je aktívne, kým cesta zmizla. Práve toto oddelenie stavu pripojenia a stavu smerovania robí správanie mätúcim.

Klienti sú redaktormi jednej spoločnej tabuľky. Vedieť, ktorá zmena bola posledná, vysvetlí takmer každý príznak.

Prečítajte si, ktorý tunel vlastní aktuálnu cestu

Skontrolujte skutočné rozhodnutie namiesto toho, aby ste verili klientovi, ktorý hlási pripojenie. Spýtajte sa systému, ktoré rozhranie by nieslo konkrétny cieľ.

ip route get 10.20.0.5
route print -4

Prvý príkaz pomenuje rozhranie a zdrojovú adresu pre jeden cieľ, a to je presne otázka, ktorá vás zaujíma. Výpis trás ukazuje vo Windows súperiace predvolené záznamy a ich metriky, takže vidíte, ktorý práve vyhráva. Spustite vyhľadanie pre hostiteľa v každej vzdialenej sieti, pretože jeden cieľ môže byť správny, kým druhá sieť je nedostupná. Ak odpoveď pomenuje nesprávny tunel, opätovné pripojenie nepomôže; politika smerovania sa musí zmeniť.

Zastavte druhého klienta v nárokovaní si všetkého

Jeden klient by mal vlastniť predvolenú trasu a druhý by mal niesť len svoje vlastné prefixy. OpenVPN klienti môžu odmietnuť to, čo server pretláča.

pull-filter ignore "redirect-gateway"
ip route get 10.30.4.10

route-nopull ignoruje každú pretlačenú trasu, zatiaľ čo pull-filter ignore "redirect-gateway" zahodí len direktívu predvolenej trasy a ponechá pretlačené DNS a iné možnosti. Vyberte medzi nimi podľa toho, koľko konfigurácie servera ešte chcete, a potom pridajte konkrétne prefixy, ktoré druhá sieť potrebuje. Majte na pamäti DNS, pretože prekladač pretlačený tunelom, ktorý nenesie dopyty, nič nevráti. Vyskúšajte jedného známeho hostiteľa v každej sieti a potvrďte zdrojovú adresu, ktorú vidí vzdialená strana.

Prekrývajúce sa podsiete nemožno obísť

Keď obe siete publikujú rovnaký prefix, jadro drží jeden záznam pre dve rôzne miesta a musí vybrať. Trasa hostiteľa nemôže vymyslieť chýbajúci rozdiel a úprava metriky tiež nie. Prečíslujte jednu stranu alebo nechajte jej správcu preložiť vzdialený rozsah, aby sa prefixy líšili. Skontrolujte skutočné podsiete, kým obviníte klientov, pretože predvolená hodnota 192.168.1.0/24 domáceho routera koliduje s kancelárskym rozsahom častejšie, než ktokoľvek čaká. Zapíšte oba rozsahy do tiketu, aby ďalšia zmena prekryv znovu nevytvorila.

Oddeľte aj dva ciele: dosiahnuť obe siete je problém smerovania, kým reťazenie tunelov pre súkromie je iný návrh s ďalším operátorom na ceste. Nepoužívajte jedno na vyriešenie druhého.