Prečo poradie adaptérov nerozhoduje o trase VPN vo vašom laboratóriu

To, že je adaptér 1 prvý v zozname hypervízora, je len poradie zobrazenia a smerovacia tabuľka hosta ho nečíta. Cestu určuje prefix, metrika a akékoľvek pravidlo zásad, ktoré platí pred oboma. Preto pridanie mostového adaptéra k laboratórnej VM môže vytvoriť druhú predvolenú cestu, zatiaľ čo staré rozhranie NAT sa stále zobrazuje ako prítomné a očíslované ako druhé. Výsledkom je VM, ktorá tunel niekedy používa a niekedy nie, bez akejkoľvek zmeny konfigurácie, ktorá by to vysvetlila.

Cestu rozhodujú tri podmienky

Tri podmienky sú: ktorý prefix je konkrétnejší, čo robia metriky pri zhode prefixov a aké pravidlá host použil po zmene hardvéru. Na každú sa dá odpovedať jedným príkazom a žiadna neobsahuje číslovanie hypervízora.

Práve posledný bod je rozhodnutie: ak nedokážete povedať, ktorý prefix vyhrá pre vlastnú adresu koncového bodu VPN, nemáte smerovaciu zásadu, máte topológiu, ktorá dnes náhodou funguje.

Prvá podmienka: ktorý prefix vyhrá

Trasa na 10.8.0.0/24 porazí predvolenú trasu pre adresu vnútri nej, bez ohľadu na metriky a bez ohľadu na poradie adaptérov. Preto VPN klient, ktorý nainštaluje konkrétnu trasu, funguje ďalej aj vtedy, keď sa objaví druhý adaptér s nižšou metrikou: konkrétnosť vyhrá skôr, než sa zváži cena. Overte pomocou ip route show tabuľku, o ktorej si myslíte, že sa používa, a pomocou ip route get 203.0.113.9 odpoveď, ktorú by jadro skutočne dalo pre konkrétny cieľ.

Vlastná adresa koncového bodu je test, na ktorom záleží najviac. Ak sa adresa VPN servera prekladá cez novo pridaný mostový adaptér, tunel sa nemusí nikdy nadviazať, alebo sa nadviaže a potom stratí vlastnú transportnú cestu. Pýtajte sa konkrétne na túto adresu namiesto predpokladu, že odpoveďou je tunelové rozhranie.

Druhá podmienka: čo metrika robí a čo nie

Jej úloha je užšia, než väčšina čaká. Metriky rozhodujú zhodu medzi trasami na rovnaký prefix; nedovolia širšej trase poraziť konkrétnejšiu. Pri zhode sa uprednostňuje nižšie číslo a rôzne operačné systémy počítajú opačným smerom, preto si rady prenesené medzi Linuxom a Windows často odporujú.

V hoste ip route show vypisuje metriku vedľa každej trasy a Get-NetRoute vo Windows vypisuje InterfaceMetric plus metriku trasy. Čítajte oboje, pretože efektívna preferencia môže byť súčet a nie jedno pole. Ak existujú dve predvolené trasy, to je nález: host má dva východy a ktorý vyhrá, je funkciou čísel, ktoré zmena hardvéru môže zmeniť.

Tretia podmienka: čo host skutočne použil

Konfigurácia nie je to isté ako použitý stav. Názvy rozhraní nie sú pri zmenách hardvéru na každej platforme stabilné a konfigurácia, ktorá sedela podľa názvu, sa teraz nemusí uplatniť na nič.

Kontrolujte použitý stav, nie zamýšľaný. ip -br link ukazuje rozhrania, ktoré existujú teraz, a na hoste s NetworkManagerom nmcli connection show ukazuje, ktorý profil je zviazaný s ktorým zariadením. Profil, ktorý sa nepodarilo zviazať, nechá rozhranie zapnuté bez adresácie, čo vyzerá ako problém smerovania a je to problém pomenovania. Obnovené snímky to zhoršujú, pretože uložený stav hosta môže odkazovať na identity adaptérov, ktoré nový hardvér už neposkytuje.

Udržte topológiu laboratória reprodukovateľnú

Uložte zamýšľané pripojenia virtuálnej siete spolu s konfiguráciou hosta, aby mapovanie role na adaptér bolo zapísané, a nie odvodené z pozície v zozname.

Zvyčajne stačí pomenovať štyri role: súkromné spojenie, správa, vonkajší transport a tunel. Každá by v súbore mala zodpovedať konkrétnemu adaptéru a konkrétnemu rozhraniu hosta.

Potom otestujte skutočnú aplikáciu po zmene hardvéru, reštarte alebo obnovenej snímke a do tohto testu zahrňte trasu ku koncovému bodu VPN. Ak má byť VM brány jediným východom, overte, že testovacia VM nemá nechcenú druhú predvolenú cestu, pretože mostový adaptér pridáva práve druhú predvolenú cestu. Testujte z hosta, nie z konzoly hypervízora, pretože oba sa môžu rozísť v tom, ktoré rozhranie je ktoré.

Dokumentácia VirtualBoxu k sieťam opisuje režimy adaptérov a k čomu sa každý pripája, a to je časť, ktorú stojí za to si prečítať pred pridaním druhého. Laboratórium, ktoré určí, ktorý adaptér slúži ktorej role, robí zmenu trasy vysvetliteľnou. Laboratórium, ktoré sa spolieha na číslovanie hypervízora, robí z každej zmeny experiment.