Dy klientë VPN njëkohësisht: kush fiton rutën e parazgjedhur?

Të drejtosh dy klientë VPN njëkohësisht është një debat rrugëtimi, jo një rregullim privatësie. Tuneli që zotëron rutën më të veçantë merr trafikun, dhe tjetri mbetet i lidhur por inaktiv. Porta korporative pastaj sheh një lidhje që vjen nga dalja personale, ndërsa klienti korporativ në makinën tuaj vazhdon të shohë çdo përshtatës. Të vendosësh se cili nga këto dy fakte ka rëndësi është i gjithë ushtrimi.

Tabela e rrugëve zgjedh një fitues të vetëm

Kapni tabelën para dhe pas nisjes së klientit korporativ, dhe lexoni kolonën e ndërfaqes në vend të vetëm destinacionit. Një rrugë e parazgjedhur e thjeshtë nga tuneli i jashtëm është e lehtë për t'u zëvendësuar, sepse një palë /1 është më e veçantë se /0. Pala fjalëpërfjalë 0.0.0.0/1 dhe 128.0.0.0/1 mbulon të gjithë hapësirën IPv4 në dy gjysma dhe mund çdo rrugë të parazgjedhur të vetme. Pasi instalohet, tuneli i jashtëm vazhdon të duket i lidhur dhe nuk mbart asgjë.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Rrugëtimi i bazuar në politikë mund të anashkalojë plotësisht tabelën kryesore, prandaj lexoni rregullat dhe rrugët. Një rregull që dërgon trafikun e shënuar në një tabelë tjetër fiton përpara se tabela kryesore të konsultohet. Kështu një aplikacion mund të mbetet në lidhjen fizike ndërsa gjithçka tjetër përdor tunelin.

ip rule show

Windows e vendos me metrika

Në Windows fituesi është rruga me metrikën më të ulët për destinacionin, dhe dy klientë mund të instalojnë të dy një rrugë të parazgjedhur me metrika të ndryshme. Lexoni tabelën dhe konfigurimin e ndërfaqes së bashku, sepse përshtatësi me metrikën më të ulët nuk është gjithmonë ai që prisni. Një klient që vendos edhe metrikë ndërfaqeje mund të zhvendosë të parazgjedhurën pa shtuar asnjë rrugë të vetme. Përshtatësi që humbet mbetet i ndezur dhe thjesht nuk merr asgjë.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Krahasoni dy daljet dhe emërtoni ndërfaqen që zotëron 0.0.0.0/0. Nëse të dy klientët e kërkojnë, vendos metrika, prandaj një provë e rendit të lidhjes mund të duket e paqëndrueshme në makina të ndryshme. Nëse asnjë dalje nuk tregon një portë të parazgjedhur, klienti nuk punon në tunel të plotë dhe argumenti i zinxhirit është pa kuptim.

Dy vëzhgues, dy këndvështrime të ndryshme

Porta e largët sheh një lidhje që vjen nga dalja e jashtme plus gjithçka që klienti përcjell në tunelin e tij. Klienti lokal sheh përshtatës, rrugë dhe ekzistencën e një tuneli tjetër, sepse punon me privilegje për t'i krijuar ato. Ndarja e këtyre pikëpamjeve është qëllimi; po të thuash se klienti nuk mund ta vërë re nuk është.

Supozoni se klienti mund të rendisë çfarë të dojë, dhe planifikoni për pikëpamjen e portës. Një dizajn që varet nga fakti që klienti mbetet i verbër është një përditësim larg thyerjes.

DNS dhe IPv6 janë vendet ku zinxhiri rrjedh

DNS ndjek cilindo rregullim zgjidhësi që fiton, dhe ky nuk është domosdoshmërisht rruga që marrin paketat. Një zgjidhës korporativ i arritur përmes tunelit korporativ është në përputhje me dizajnin; një zgjidhës lokal i arritur jashtë tij nuk është, dhe zbulon emra që tuneli duhej të fshihte. IPv6 është rrjedhja e dytë: një host me stivë të dyfishtë vazhdon të përdorë IPv6 drejt destinacioneve që tuneli mbart vetëm përmes IPv4. Kontrolloni familjet veçmas, sepse një tunel vetëm me IPv4 nuk thotë asgjë për rrugët ose zgjidhësit IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Rregulloni zgjidhësin dhe rrugën IPv6 me qëllim, në vend që të grumbulloni një tunel të dytë sipër. Inkapsulimi i dyfishtë kushton edhe MTU, prandaj një MTU e brendshme më e vogël është gjëja e parë për të provuar kur faqet ngecin pasi zinxhiri ngrihet. Një zgjidhës që përgjigjet shpejt nuk është provë se është ai i sakti.