Metrika poti VPN se je po povezavi spremenila: kaj to pomeni
Nižja metrika le odloči neodločeno med enako specifičnimi potmi. Preden spremenite katero koli številko poti VPN, preberite pravilo politike, predpono in host pot končne točke.
Povežete se z VPN, zaženete route print in privzeta pot ima zdaj veliko nižjo metriko kot prej. Naravna ugotovitev je, da je VPN prevzel privzeto pot, ker je njena številka manjša. Včasih se je zgodilo točno to. Pogosto metrika sploh ni odločilni dejavnik in njena sprememba ne spremeni ničesar, ker je bila izbira narejena prej, z dolžino predpone ali s pravilom politike.
Simptom je resničen: promet, ki je prej odhajal skozi vmesnik Wi-Fi, zdaj odhaja skozi tunel, ali obratno. Metrika je en vhod v iskanje, ki poteka v ustaljenem vrstnem redu, in prav ta vrstni red morate prebrati, preden se dotaknete številke.
S čim se številka dejansko kosa
Prva primerjava je specifičnost, ne prednost. Pot za 10.20.0.0/16 premaga 10.0.0.0/8, obe pa premagata 0.0.0.0/0, kar koli pravijo njune metrike. VPN, ki namesti privzeto pot z najnižjo metriko na stroju, še vedno izgubi proti vsaki bolj specifični poti, ki ustreza cilju, vključno s host potjo, ki jo odjemalec namesti za svoj strežnik.
Zato znižanje metrike na privzeti poti ne more potisniti neposredno povezanega podomrežja v tunel. Če želite to podomrežje znotraj VPN, dodajte pot za predpono ali izberite tabelo tunela s pravilom politike. Metrika je napačna ročica za to delo.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Linux izbere tabelo pred metriko
V Linuxu jedro najprej pogleda v bazo politik. ip rule našteje pravila in tabele, ki jih izbirajo, ip route get 203.0.113.10 pa poroča o tabeli, poti in izvornem naslovu, ki bi jih jedro dejansko uporabilo za ta cilj. Metrika znotraj tabele 100 se nikoli ne kosa s potjo v glavni tabeli, ker je pravilo izbralo tabelo, preden je bila primerjana katera koli metrika.
Zato je pot lahko videti pravilna v ip route show table all in še vedno ne prenaša prometa. Preberite pravilo, ki se je ujemalo, nato tabelo, ki jo je izbralo, nato primerjajte poti v njej. Če je izbrana napačna tabela, nobena sprememba metrike v drugi tabeli ne bo pomagala.
Windows združuje dve metriki
Windows privzeto nima baze politik, a združuje metriko poti z metriko vmesnika, in samodejna metrika vmesnika se lahko spreminja s hitrostjo povezave in stanjem vmesnika. Zato se lahko ista pot obnaša drugače po pojavu priklopne postaje ali navideznega vmesnika. Find-NetRoute -RemoteIPAddress 203.0.113.10 poroča o izbranem izvornem naslovu, naslednjem skoku in vmesniku, kar je blizu resnični odločitvi bolj kot surova tabela.
Berite vrednosti poti in vmesnika skupaj. Zvišanje metrike vmesnika lahko premakne promet, ne da bi se spremenil kateri koli vnos poti, in odjemalec VPN, ki ima svoje poti v lasti, jih bo ob ponovni povezavi znova namestil in zavrgel vašo spremembo.
Končno točko tunela držite zunaj tunela
Vsak tunel potrebuje pot do svojega strežnika, ki ne poteka skozi tunel. Odjemalci namestijo host pot do končne točke skozi fizični prehod, in ta pot mora ostati bolj specifična od privzete poti, ki jo odjemalec doda. Izbrišite jo ali pustite, da tunel zmaga pri iskanju tega naslova, in zapakirani paketi bodo poskusili vstopiti v tunel, ki bi ga morali zgraditi. Povezava ne uspe ali pade v zanko.
To host pot preverite pred vsako spremembo metrike in po njej: kazati mora na fizični naslednji skok in preživeti ponovno povezavo. Če jo ima odjemalec v lasti, spremenite profil ali upravljano konfiguracijo namesto vrednosti med izvajanjem, ki bo prepisana.
Preverite obe družini naslovov in kontekst aplikacije
IPv4 in IPv6 sta ločeni odločitvi z ločenima tabelama. VPN lahko prenaša IPv4, medtem ko IPv6 še naprej uporablja lokalni usmerjevalnik, in sprememba metrike v eni družini ne pove ničesar o drugi. Preverite obe, nato preverite kontekst aplikacije. Proces, vezan na vmesnik, imenski prostor vsebnika ali VPN za posamezno aplikacijo, lahko vidi drugačno tabelo kot vaša lupina.
Preverjajte z orodjem, ki poroča o odločitvi za resnični cilj, ne s celotnim seznamom tabele. Če je izbrana pot tista, ki jo načrt predvideva, se ustavite. Metrika, ki ni najmanjše število na zaslonu, ni napaka, in siljenje, da bi bila najmanjša, lahko zlomi pot do končne točke, od katere je tunel odvisen.