Zakaj lokalna pot premaga privzeto pot VPN

Tiskalnik na mizi deluje naprej, potem ko se tunel dvigne, medtem ko se strežnik v drugi pisarni tiho razreši v nekaj lokalnega. Obe vedenji izhajata iz istega pravila: zmaga najbolj specifična pot, neposredno povezana predpona pa je čim bolj specifična. Ponavadi je to želeni načrt in prav tako podvojen zasebni obseg ukrade oddaljeni naslov. Če najprej preberete izbiro jedra, se skrivnostna napaka spremeni v primerjavo predpon.

Povezana predpona je bolj specifična od privzete poti

Tunel običajno namesti privzeto pot ali niz predpon, medtem ko lokalni vmesnik nosi povezano predpono in pot do celotnega LAN. Med njima odloča ujemanje najdaljše predpone, zato cilj znotraj predpone LAN nikoli ne doseže tunela. Zato tiskalnik, skrbniška stran usmerjevalnika in lokalni NAS ostanejo dosegljivi, dokler je VPN vklopljen. Zato tudi oddaljeni vir znotraj prekrivajočega se obsega odide na napačen stroj.

Zasebni naslovni prostor ni edinstven in da dve lokaciji izbereta isto predpono, je dovolj pogosto, da se načrtuje. Ko se obsegi prekrijejo, lokalni odgovor pride hitro in deluje verodostojno, zato se napako zlahka napačno prebere kot težavo s prijavo. Cilj je odgovoril, le ne tisti, ki ste ga mislili.

Preberite izbiro, ki bi jo jedro naredilo

Vprašajte jedro, katero pot bi uporabilo za točen cilj, namesto da berete tabelo od zgoraj. Nato poiščite pravila politike, ki bi lahko izbrala drugo tabelo. Dva ukaza odgovorita na obe vprašanji v nekaj sekundah.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Prvi izhod navede vmesnik, naslednji skok in izvorni naslov, ki bi ju jedro uporabilo, in to je odgovor, ki šteje. Vrednost dev, ki kaže na lokalni most, pomeni, da paket nikoli ne vstopi v tunel, kar koli trdi statusna plošča odjemalca VPN. Filtrirani seznam tabel pokaže, ali druga tabela drži isto predpono, seznam pravil pa pokaže vrstni red, v katerem se te tabele posvetujejo. Pravilo politike lahko pošlje predpono skozi določeno tabelo tudi ko se glavna tabela ne strinja, zato je ta vrstni red del odgovora.

Lokalni dostop je ločeno dovoljenje

Imeti pot ni isto kot imeti dovoljenje za njeno uporabo. Večina odjemalcev lahko blokira lokalno omrežno komunikacijo, dokler je tunel dvignjen, in ta nastavitev je odločitev politike, ne artefakt usmerjanja. Ko zaupna bližnja storitev sodi v načrt, vklopite podprto možnost lokalnega dostopa, namesto da bi si izmišljali poti. Ko je naprava v javnem Wi-Fi, jo pustite izklopljeno.

Plasti odpovedujeta različno. Blokirana lokalna pot povzroči prekoračitev časa, čeprav pot obstaja, medtem ko prekrivajoča se pot vrne odgovor z napačnega gostitelja. Razlikovanje stane eno poizvedbo in prihrani popoldne sprememb požarnega zidu, razporeditev posredovanja pa je opisana v opombe strongSwan o posredovanju.

Popravite prekrivanje brez kopičenja poti do gostiteljev

Pot do gostitelja za en naslov je videti, da odpravi prekrivanje, in odpove v trenutku, ko je potreben drugi naslov iz istega obsega. Po dvajsetih takih nihče ne more reči, katera predpona je merodajna. Trajne rešitve so sprememba naslavljanja, dokumentirana topologija, ki se izogne podvojenemu obsegu, ali prevajanje na enem koncu. Vsaka stane čas načrtovanja enkrat, namesto vzdrževanja za vedno.

Če je začasna pot do gostitelja res potrebna, ob njej zapišite razlog, lastnika in datum, da jo bo mogoče pozneje odstraniti. Nato preizkusite točen naslov in storitev ter javni cilj, ker je sprememba lokalnega dostopa, ki tiho izključi nepovezane aplikacije iz tunela, slabša od prvotne okvare. Imajte lokalno predpono in oddaljeno predpono zapisani ločeno; ta navada prepreči, da bi delujoč lokalni ping krožil kot dokaz, da je oddaljena pisarna dosegljiva.