Зашто локална рута побеђује подразумевану VPN руту

Штампач на столу наставља да ради након што се тунел подигне, док се сервер у другој канцеларији тихо разрешава на нешто локално. Оба понашања долазе из истог правила: побеђује најспецифичнија рута, а директно прикључени префикс је најспецифичнији могући. То је обично дизајн који желите, а управо тако дупликат приватног опсега украде удаљену адресу. Читање избора кернела прво претвара тајанствени квар у поређење префикса.

Повезани префикс је специфичнији од подразумеване руте

Тунел обично инсталира подразумевану руту или скуп префикса, док локални интерфејс носи повезани префикс плус руту до целе LAN мреже. Између њих одлучује подударање најдужег префикса, па одредиште унутар LAN префикса никада не стиже до тунела. Зато штампач, административна страница рутера и локални NAS остају доступни док је VPN активан. Зато и удаљени ресурс унутар опсега који се преклапа одлази на погрешну машину.

Приватни адресни простор није јединствен, а два локалитета која бирају исти префикс довољно су честа појава да се планирају. Када се опсези преклопе, локални одговор стиже брзо и изгледа ауторитативно, па се квар лако погрешно прочита као проблем са пријавом. Одредиште је одговорило, само не оно које сте мислили.

Прочитајте избор који би кернел направио

Питајте кернел коју би руту користио за тачно одредиште уместо да читате табелу одозго. Затим потражите правила политике која би могла изабрати другу табелу. Две команде одговарају на оба питања у неколико секунди.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Први излаз наводи интерфејс, следећи скок и изворну адресу коју би кернел користио, и то је одговор који је важан. Вредност dev која показује на локални мост значи да пакет никада не улази у тунел, шта год тврди статусни панел VPN клијента. Филтрирани списак табела показује држи ли друга табела исти префикс, а списак правила показује редослед којим се те табеле консултују. Правило политике може послати префикс кроз одређену табелу чак и када се главна табела не слаже, па је тај редослед део одговора.

Локални приступ је засебна дозвола

Имати руту није исто што и имати дозволу да је користите. Већина клијената може блокирати локалну мрежну комуникацију док је тунел активан, а то подешавање је одлука политике, а не артефакт рутирања. Када поуздана оближња услуга припада дизајну, укључите подржану опцију локалног приступа уместо да измишљате руте. Када је уређај на јавном Wi-Fi-ју, оставите је искључену.

Два слоја отказују различито. Блокиран локални пут даје истек времена иако рута постоји, док рута која се преклапа даје одговор са погрешног хоста. Разликовање захтева један упит и штеди поподне измена firewall правила, а распоред прослеђивања описан је у белешке strongSwan о прослеђивању.

Поправите преклапање без гомилања хост рута

Хост рута за једну адресу изгледа као да поправља преклапање и пада у тренутку када затреба друга адреса из истог опсега. Двадесет таквих касније, нико не може рећи који је префикс меродаван. Трајна решења су промена адресирања, документована топологија која избегава дупликат опсега или превођење на једном крају. Свако кошта време планирања једном, уместо одржавања заувек.

Ако је привремена хост рута заиста потребна, запишите разлог, власника и датум поред ње да би се касније могла уклонити. Затим тестирајте тачну адресу и услугу плус јавно одредиште, јер промена локалног приступа која тихо искључује неповезане апликације из тунела гора је од првобитног квара. Држите локални префикс и удаљени префикс одвојено записане; та навика спречава да се радни локални ping преноси као доказ да је удаљена канцеларија доступна.