Dva odjemalca VPN hkrati: kdo zmaga privzeto pot?

Izvajanje dveh odjemalcev VPN hkrati je razprava o usmerjanju, ne nastavitev zasebnosti. Tunel, ki ima bolj specifično pot, prejme promet, drugi pa ostane povezan, a nedejaven. Korporativni prehod takrat vidi povezavo, ki prihaja iz osebnega izhoda, medtem ko korporativni odjemalec na vašem računalniku še vedno vidi vsak vmesnik. Odločiti, katero od teh dveh dejstev je pomembno, je cela vaja.

Tabela poti izbere enega zmagovalca

Zajemite tabelo pred začetkom korporativnega odjemalca in po njem ter berite stolpec vmesnika, ne le cilja. Običajna privzeta pot iz zunanjega tunela se zlahka izpodrine, ker je par /1 bolj specifičen kot /0. Dobesedni par 0.0.0.0/1 in 128.0.0.0/1 pokriva celoten prostor IPv4 v dveh polovicah in premaga vsako posamezno privzeto pot. Ko je nameščen, je zunanji tunel še vedno prikazan kot povezan in ne prenaša ničesar.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Usmerjanje po pravilniku lahko popolnoma obide glavno tabelo, zato berite pravila in poti. Pravilo, ki označen promet pošlje v drugo tabelo, zmaga preden se glavna tabela sploh preveri. Tako lahko ena aplikacija ostane na fizični povezavi, medtem ko vse ostalo uporablja tunel.

ip rule show

Windows to odloči z metrikami

V sistemu Windows je zmagovalec pot z najnižjo metriko za cilj, in dva odjemalca lahko oba namestita privzeto pot z različnimi metrikami. Berite tabelo in konfiguracijo vmesnika skupaj, ker vmesnik z nižjo metriko ni vedno tisti, ki ga pričakujete. Odjemalec, ki nastavi tudi metriko vmesnika, lahko premakne privzeto pot, ne da bi dodal eno samo pot. Poraženi vmesnik ostane vklopljen in preprosto ne prejme ničesar.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Primerjajte oba izhoda in poimenujte vmesnik, ki ima 0.0.0.0/0. Če ga zahtevata oba odjemalca, odloči metrika, zato je lahko preizkus vrstnega reda povezave na različnih računalnikih videti nedosleden. Če noben izhod ne pokaže privzetega prehoda, odjemalec ne deluje v polnem tunelu in argument verige je brezpredmeten.

Dva opazovalca, dva različna pogleda

Oddaljeni prehod vidi eno povezavo, ki prihaja iz zunanjega izhoda, plus vse, kar odjemalec posreduje v svoj tunel. Lokalni odjemalec vidi vmesnike, poti in obstoj drugega tunela, ker deluje s pravicami za njihovo ustvarjanje. Ločevanje teh pogledov je smisel; trditev, da odjemalec tega ne more opaziti, ni.

Predpostavite, da lahko odjemalec našteje, kar hoče, in načrtujte za pogled prehoda. Zasnova, ki je odvisna od tega, da odjemalec ostane slep, je ena posodobitev od zloma.

DNS in IPv6 sta mesta, kjer veriga pušča

DNS sledi tisti nastavitvi resolverja, ki zmaga, in to ni nujno pot, po kateri gredo paketi. Korporativni resolver, dosežen skozi korporativni tunel, je skladen z zasnovo; lokalni resolver, dosežen zunaj njega, ni, in razkrije imena, ki naj bi jih tunel skril. IPv6 je drugo puščanje: gostitelj z dvojnim skladom še naprej uporablja IPv6 proti ciljem, ki jih tunel prenaša le prek IPv4. Preverite družine ločeno, ker tunel samo za IPv4 ne pove ničesar o poteh ali resolverjih IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Odpravite resolver in pot IPv6 namerno, namesto da bi nalagali drugi tunel na vrh. Dvojno enkapsuliranje stane tudi MTU, zato je manjši notranji MTU prva stvar, ki jo poskusite, ko se strani po dvigu verige zataknejo. Resolver, ki odgovori hitro, ni dokaz, da je pravi.