Метрика VPN руте се променила након повезивања: шта то значи
Мања метрика само решава нерешену ситуацију између једнако конкретних рута. Прочитајте правило политике, префикс и host руту крајње тачке пре него што промените било који број VPN руте.
Повезујете VPN, извршавате route print и подразумевана рута сада носи много мању метрику него раније. Природан закључак је да је VPN преузео подразумевану руту зато што је њен број мањи. Понекад се то управо догодило. Често метрика уопште није одлучујући фактор и њена измена не мења ништа, јер је избор направљен раније, дужином префикса или правилом политике.
Симптом је стваран: саобраћај који је раније излазио кроз Wi-Fi адаптер сада излази кроз тунел, или обрнуто. Метрика је један улаз у претрагу која се извршава у фиксном редоследу, и управо тај редослед треба прочитати пре него што додирнете број.
Са чиме се број заправо такмичи
Прво поређење је конкретност, не преференција. Рута за 10.20.0.0/16 побеђује 10.0.0.0/8, и обе побеђују 0.0.0.0/0, шта год њихове метрике кажу. VPN који инсталира подразумевану руту с најмањом метриком на машини ипак губи од сваке конкретније руте која се поклапа са одредиштем, укључујући host руту коју клијент инсталира за свој сопствени сервер.
Зато смањење метрике на подразумеваној рути не може да присили директно повезану подмрежу у тунел. Ако желите ту подмрежу унутар VPN-а, додајте руту за префикс или изаберите табелу тунела правилом политике. Метрика је погрешна полуга за тај посао.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Linux одлучује табелу пре метрике
На Linux-у језгро најпре консултује базу политика. ip rule наводи правила и табеле које она бирају, а ip route get 203.0.113.10 приказује табелу, руту и изворну адресу које би језгро стварно користило за то одредиште. Метрика унутар табеле 100 никада се не такмичи са рутом у главној табели, јер је правило изабрало табелу пре него што је било која метрика упоређена.
Зато рута може да изгледа исправно у ip route show table all а ипак не преноси саобраћај. Прочитајте правило које се поклопило, затим табелу коју је изабрало, затим упоредите руте у њој. Ако је изабрана погрешна табела, никаква измена метрике у другој табели неће помоћи.
Windows комбинује две метрике
Windows подразумевано нема базу политика, али комбинује метрику руте са метриком интерфејса, а аутоматска метрика интерфејса може да се мења са брзином везе и стањем адаптера. Зато иста рута може да се понаша другачије након што се појави докинг станица или виртуелни адаптер. Find-NetRoute -RemoteIPAddress 203.0.113.10 приказује изабрану изворну адресу, следећи хоп и интерфејс, што је ближе стварној одлуци од сирове табеле.
Читајте вредности руте и интерфејса заједно. Подизање метрике интерфејса може да помери саобраћај без иједне промене уноса руте, а VPN клијент који поседује своје руте поново ће их инсталирати при поновном повезивању и одбацити вашу измену.
Држите крајњу тачку тунела изван тунела
Сваки тунел захтева пут до свог сервера који не иде кроз тунел. Клијенти инсталирају host руту за крајњу тачку кроз физички гејтвеј, и та рута мора да остане конкретнија од подразумеване руте коју клијент додаје. Избришите је, или допустите тунелу да победи у претрази за ту адресу, и инкапсулирани пакети ће покушати да уђу у тунел који треба да изграде. Веза пада или улази у петљу.
Проверите ту host руту пре и после сваке промене метрике: треба да показује на физички следећи хоп и да преживи поновно повезивање. Ако је клијент поседује, измените профил или управљану конфигурацију уместо вредности у време извршавања која ће бити пребрисана.
Проверите обе породице адреса и контекст апликације
IPv4 и IPv6 су одвојене одлуке са одвојеним табелама. VPN може да носи IPv4 док IPv6 наставља да користи локални рутер, и промена метрике у једној породици ништа не говори о другој. Проверите обе, затим проверите контекст апликације. Процес везан за интерфејс, именски простор контејнера или VPN по апликацији могу да виде другу табелу од ваше љуске.
Проверавајте алатом који извештава одлуку за стварно одредиште, не пуним списком табеле. Ако је изабрана рута она коју дизајн предвиђа, зауставите се. Метрика која није најмањи број на екрану није дефект, а присиљавање да буде најмања може да сломи пут крајње тачке од које тунел зависи.