Metrika trasy VPN sa po pripojení zmenila: čo to znamená
Nižšia metrika len rozhoduje nerozhodné medzi rovnako konkrétnymi trasami. Prečítajte si pravidlo politiky, prefix a hostiteľskú trasu koncového bodu, skôr než upravíte akékoľvek číslo trasy VPN.
Pripojíte VPN, spustíte route print a predvolená trasa má teraz oveľa nižšiu metriku ako predtým. Prirodzený záver je, že VPN prevzala predvolenú trasu, pretože jej číslo je menšie. Niekedy sa to presne stalo. Často metrika vôbec nie je rozhodujúci faktor a jej úprava nič nezmení, pretože voľba padla skôr, podľa dĺžky prefixu alebo podľa pravidla politiky.
Príznak je skutočný: prevádzka, ktorá predtým odchádzala cez adaptér Wi-Fi, teraz odchádza tunelom, alebo naopak. Metrika je jeden vstup do vyhľadávania, ktoré beží v pevnom poradí, a práve to poradie treba prečítať, kým sa dotknete čísla.
S čím číslo vlastne súťaží
Prvé porovnanie je konkrétnosť, nie preferencia. Trasa pre 10.20.0.0/16 poráža 10.0.0.0/8 a obe porážajú 0.0.0.0/0, nech ich metriky hovoria čokoľvek. VPN, ktorá nainštaluje predvolenú trasu s najnižšou metrikou na stroji, stále prehráva s každou konkrétnejšou trasou, ktorá zodpovedá cieľu, vrátane hostiteľskej trasy, ktorú klient inštaluje pre svoj vlastný server.
Preto zníženie metriky na predvolenej trase nemôže dotlačiť priamo pripojenú podsieť do tunela. Ak chcete tú podsieť vnútri VPN, pridajte trasu pre prefix alebo vyberte tabuľku tunela pravidlom politiky. Metrika je na túto prácu nesprávna páka.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Linux rozhoduje o tabuľke skôr než o metrike
V Linuxe jadro najprv nahliadne do databázy politík. ip rule vypisuje pravidlá a tabuľky, ktoré vyberajú, a ip route get 203.0.113.10 hlási tabuľku, trasu a zdrojovú adresu, ktoré by jadro pre daný cieľ skutočne použilo. Metrika vnútri tabuľky 100 nikdy nesúťaží s trasou v hlavnej tabuľke, pretože pravidlo vybralo tabuľku skôr, než sa porovnala akákoľvek metrika.
Preto môže trasa vyzerať správne v ip route show table all a napriek tomu nenesie prevádzku. Prečítajte pravidlo, ktoré zodpovedalo, potom tabuľku, ktorú vybralo, a potom porovnajte trasy v nej. Ak je vybraná nesprávna tabuľka, žiadna úprava metriky v inej tabuľke nepomôže.
Windows kombinuje dve metriky
Windows štandardne nemá databázu politík, ale kombinuje metriku trasy s metrikou rozhrania, a automatická metrika rozhrania sa môže meniť s rýchlosťou linky a stavom adaptéra. Preto sa tá istá trasa môže správať inak po objavení sa dokovacej stanice alebo virtuálneho adaptéra. Find-NetRoute -RemoteIPAddress 203.0.113.10 hlási zvolenú zdrojovú adresu, ďalší skok a rozhranie, čo je bližšie skutočnému rozhodnutiu než surová tabuľka.
Čítajte hodnoty trasy a rozhrania spolu. Zvýšenie metriky rozhrania môže presunúť prevádzku bez toho, aby sa zmenil jediný záznam trasy, a klient VPN, ktorý vlastní svoje trasy, ich pri opätovnom pripojení nainštaluje znova a vašu úpravu zahodí.
Držte koncový bod tunela mimo tunela
Každý tunel potrebuje cestu k svojmu serveru, ktorá nevedie tunelom. Klienti inštalujú hostiteľskú trasu pre koncový bod cez fyzickú bránu a táto trasa musí zostať konkrétnejšia než predvolená trasa, ktorú klient pridáva. Vymažte ju alebo nechajte tunel vyhrať vyhľadávanie pre túto adresu, a zapuzdrené pakety sa pokúsia vstúpiť do tunela, ktorý majú postaviť. Spojenie zlyhá alebo sa zacyklí.
Skontrolujte tú hostiteľskú trasu pred každou zmenou metriky aj po nej: má ukazovať na fyzický ďalší skok a prežiť opätovné pripojenie. Ak ju klient vlastní, zmeňte profil alebo spravovanú konfiguráciu, nie runtime hodnotu, ktorá bude prepísaná.
Skontrolujte obe rodiny adries a kontext aplikácie
IPv4 a IPv6 sú oddelené rozhodnutia s oddelenými tabuľkami. VPN môže prenášať IPv4, kým IPv6 ďalej používa miestny router, a zmena metriky v jednej rodine nehovorí o druhej nič. Skontrolujte obe, potom skontrolujte kontext aplikácie. Proces viazaný na rozhranie, namespace kontajnera alebo VPN pre jednotlivé aplikácie môže vidieť inú tabuľku než váš shell.
Overujte nástrojom, ktorý hlási rozhodnutie pre skutočný cieľ, nie úplným výpisom tabuľky. Ak je zvolená trasa tá, ktorú návrh zamýšľa, zastavte sa. Metrika, ktorá nie je najmenšie číslo na obrazovke, nie je porucha, a nútiť ju byť najmenšou môže rozbiť cestu ku koncovému bodu, na ktorej tunel závisí.