Pse një rrugë lokale mund rrugën e parazgjedhur të VPN-së

Printeri në tavolinë vazhdon të punojë pasi tuneli ngrihet, ndërsa një server në zyrën tjetër zgjidhet në heshtje drejt diçkaje lokale. Të dyja sjelljet vijnë nga i njëjti rregull: fiton rruga më specifike, dhe një prefiks i lidhur drejtpërdrejt është sa më specifik që mund të jetë. Zakonisht ky është dizajni që dëshironi, dhe pikërisht kështu një interval privat i dyfishuar vjedh një adresë të largët. Leximi i zgjedhjes së kernelit fillimisht e kthen një dështim misterioz në një krahasim prefiksesh.

Një prefiks i lidhur është më specifik se një rrugë e parazgjedhur

Një tunel zakonisht instalon një rrugë të parazgjedhur ose një grup prefiksesh, ndërsa një ndërfaqe lokale mban një prefiks të lidhur plus një rrugë drejt të gjithë LAN-it. Midis tyre vendos përputhja e prefiksit më të gjatë, kështu që një destinacion brenda prefiksit të LAN-it nuk arrin kurrë në tunel. Prandaj një printer, faqja e administrimit e një routeri dhe një NAS lokal mbeten të arritshme ndërsa VPN-ja është aktive. Prandaj edhe një burim i largët brenda një intervali të mbivendosur shkon në makinën e gabuar.

Hapësira e adresave private nuk është unike, dhe fakti që dy site zgjedhin të njëjtin prefiks është mjaft i zakonshëm për t'u planifikuar. Kur intervalet mbivendosen, përgjigjja lokale vjen shpejt dhe duket autoritare, kështu që dështimi lexohet lehtë si problem hyrjeje. Destinacioni u përgjigj, thjesht jo ai që kishit parasysh.

Lexoni zgjedhjen që do të bënte kernel-i

Pyetni kernel-in se cilën rrugë do të përdorte për destinacionin e saktë në vend që të lexoni tabelën nga lart. Pastaj kërkoni rregulla politike që mund të zgjedhin një tabelë tjetër. Dy komanda u përgjigjen të dyja pyetjeve në pak sekonda.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Dalja e parë emërton ndërfaqen, hapin tjetër dhe adresën e burimit që kernel-i do të përdorte, dhe kjo është përgjigjja që ka rëndësi. Një vlerë dev që tregon urën lokale do të thotë që paketa nuk hyn kurrë në tunel, çfarëdo që pretendon paneli i statusit i klientit VPN. Lista e filtruar e tabelave tregon nëse një tabelë tjetër mban të njëjtin prefiks, dhe lista e rregullave tregon rendin në të cilin konsultohen ato tabela. Një rregull politike mund të dërgojë një prefiks përmes një tabele të caktuar edhe kur tabela kryesore nuk pajtohet, prandaj ai rend është pjesë e përgjigjes.

Qasja lokale është një leje më vete

Të kesh një rrugë nuk është e njëjta gjë me të kesh leje për ta përdorur. Shumica e klientëve mund të bllokojnë komunikimin lokal të rrjetit ndërsa tuneli është lart, dhe ky konfigurim është një vendim politike, jo një artefakt rrugëtimi. Kur një shërbim i besueshëm aty pranë bën pjesë në dizajn, aktivizoni opsionin e mbështetur të qasjes lokale në vend që të shpikni rrugë. Kur pajisja është në një Wi-Fi publik, lëreni të fikur.

Dy shtresat dështojnë ndryshe. Një rrugë lokale e bllokuar prodhon një skadim kohe edhe pse rruga ekziston, ndërsa një rrugë e mbivendosur prodhon një përgjigje nga hosti i gabuar. T'i dallosh kushton një pyetësor dhe kursen një pasdite ndryshimesh në firewall, dhe rregullimi i përcjelljes përshkruhet në shënimet e strongSwan për përcjelljen.

Rregulloni një mbivendosje pa grumbulluar rrugë hostesh

Një rrugë hosti për një adresë duket se rregullon një mbivendosje dhe dështon në momentin kur nevojitet një adresë e dytë në të njëjtin interval. Pas njëzet prej tyre, askush nuk mund të thotë cili prefiks është autoritar. Zgjidhjet e qëndrueshme janë një ndryshim adresimi, një topologji e dokumentuar që shmang intervalin e dyfishuar, ose një përkthim në njërin skaj. Secila kushton kohë planifikimi një herë në vend të mirëmbajtjes përgjithmonë.

Nëse një rrugë hosti e përkohshme është vërtet e nevojshme, shënoni pranë saj arsyen, pronarin dhe datën që të mund të hiqet më vonë. Pastaj provoni adresën dhe shërbimin e saktë plus një destinacion publik, sepse një ndryshim i qasjes lokale që përjashton në heshtje aplikacione të palidhura nga tuneli është më i keq se defekti fillestar. Mbani prefiksin lokal dhe prefiksin e largët të shkruar veçmas; ai zakon parandalon që një ping lokal që punon të qarkullojë si provë se zyra e largët është e arritshme.