Att starta en ny VPN ersätter den förstas tillstånd

Två klienter, två anslutningsikoner och en tro på att trafiken nu går genom båda. Jämför den tron med vad varje plattform faktiskt tillåter. En telefon har vanligtvis exakt en plats för en VPN-tjänst; en dator kan köra flera klienter som kämpar om samma rutter och samma resolver. Skillnaden mellan dessa två situationer förklarar de flesta rapporterna om en VPN som faller när en annan startar.

Ikonerna beskriver processer, inte en kedja.

En plats på en telefon, flera kandidater på en dator

På Android erbjuder plattformen en VPN-tjänstemodell med en aktiv VPN per användarprofil, så att starta en andra stoppar den första. Det är systemet som upprätthåller sin egen regel, inte en bugg i någon av klienterna. På en dator kan flera klienter köra samtidigt, och då konkurrerar de om routingtabellen, policyregler, resolverkonfiguration och virtuella gränssnitt. Båda resultaten är plattformen som arbetar som designat.

Inget av resultaten skapar en nästlad tunnel i sig självt. En kedja kräver att en tunnel bär den andras krypterade paket, och det är arkitektur, inte en slump i ordningen.

Vad den andra klienten skriver över

Den andra klienten installerar vanligtvis en standardrutt, lägger till sina egna regler och trycker fram sin egen resolver. Den första kan överleva som en process utan trafik, eller behålla en rutt som inte längre vinner. Domänspecifika rutter är det vanliga offret, och därför fortsätter vissa destinationer att fungera medan andra misslyckas. Det synliga symptomet är en frånkoppling, och det faktiska tillståndet är en delvis ersättning.

En kontroll av utgående IP avslöjar inte detta. Den rapporterar en adress för en destination och säger ingenting om vilka rutter som skrevs över eller vilken resolver som svarar nu. För att se skadan, läs routingtabellen och resolverns tillstånd.

Nästling är en design, inte en ordning av klick

Om nästling är avsikten, dokumentera varje ändpunkts yttre väg, dess felpolicy och MTU-konsekvenserna. Bestäm vad som händer när den yttre tunneln faller medan den inre fortfarande tror att den är ansluten. Att starta klienter i en lycklig ordning är inte en konfiguration, eftersom nästa uppdatering eller återanslutning ordnar om dem. Ett nästlat arrangemang kräver samma omsorg som vilken annan topologi som helst.

När en anslutning är för arbete och en annan är personlig, luta dig mot den isolering eller hanterade ordning som plattformen stöder. Att riva ut företagets kontroller är inte en separationsstrategi.

Verifiera med applikationen, inte ikonen

Testa de applikationer som verkligen spelar roll, från varje sammanhang du tänker använda, och inkludera resolverbeteende och återanslutningar i testet. En slutlig utgångsadress kan inte identifiera varje överskriven rutt, och en grön ikon kan inte identifiera någon av dem. Anteckna vem som äger anslutningen och vilken kombination som faktiskt stöds.

Om en produkt uttryckligen inte stöder samexistens med en annan, kommer en slumpmässig rutt- eller behörighetsändring inte att ge en underhållbar utrullning. Den kommer att ge en som fungerar till nästa uppdatering.

Skriv ner vilken klient som äger standardrutten, vilken resolver som svarar, och vad som händer när var och en av dem stoppar.