Kwa nini handaki ya pili ya VPN huvunja ya kwanza?

Kusakinisha mteja wa pili wa VPN ili kufikia mtandao mmoja wa mteja ndiyo njia ya kawaida ambayo hii huanza, na handaki ya kwanza inatiwa giza huku wateja wote wawili wakiripoti mafanikio. Kila mteja alisakinisha njia chaguomsingi, ya pili ilikuwa mahususi zaidi, na kerneli sasa inaifuata kwa kila kitu isipokuwa muunganisho wa nje wa handaki ya kwanza yenyewe. Hakuna kilichoanguka na wasifu wowote si mbaya. Njia moja ilibadilisha nyingine, na suluhisho ni kuamua ni handaki ipi inapaswa kumiliki chaguomsingi.

Dalili: mteja wa pili hushinda kwa utulivu

OpenVPN: chaguo redirect-gateway def1 haliandiki 0.0.0.0/0. Inaongeza 0.0.0.0/1 na 128.0.0.0/1: kwa pamoja hufunika kila anwani ya IPv4, na kila kiambishi awali hushinda chaguomsingi rahisi kwa urefu. Chaguomsingi asilia hubaki kwenye jedwali na huacha kutumika kwa trafiki ya kawaida, na njia ya mwenyeji kuelekea seva ya VPN huzuia handaki kunasa pakiti zake za nje. Wateja wote wawili hufanya hivi, na wa pili husakinisha jozi lake baadaye.

Ndiyo sababu handaki ya kwanza inaonekana imekufa badala ya kukatika. Kiolesura chake kiko juu, kituo chake cha udhibiti kiko hai, na trafiki yoyote ya programu haifikii tena. Malalamiko ya kinyume yana push hiyo hiyo iliyokosekana: simu inayounganisha lakini haitumi kitu kawaida huzungumza na seva ambayo haijatangaza redirect-gateway kamwe, kwa hivyo kifaa huhifadhi chaguomsingi chake na kufikia bwawa pekee.

Piga picha ya njia kabla na baada ya mteja wa pili kuunganisha. Njia mbili za nusu zinazoonekana kwenye jedwali ndiyo mabadiliko yote, na zinaeleza malalamiko yote mawili. Hakuna kingine kwenye jedwali kinachohitaji kusogea ili dalili ionekane. Ndiyo sababu kuondoa mteja wa pili hurudisha wa kwanza papo hapo.

Soma ni handaki ipi inashinda kwa kweli

Usikisie mshindi kutoka kwa mpangilio wateja walioanza au kutoka kwa aikoni kwenye trei. Uliza kerneli ni njia ipi itakayotumia kwa lengo nje ya mitandao yote mawili ya kibinafsi, na soma kiolesura kinachorudi.

ip route show
ip route get 198.51.100.24
route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.24

Mbili za kwanza ni jibu la Linux na mbili za mwisho ni kifani cha Windows. Zikimbie wakati handaki zote mbili ziko juu, kisha kata moja na uzikimbie tena. Tofauti kati ya matokeo mawili ndiyo ukweli unaouhitaji kabla ya kuchagua suluhisho, na inachukua muda mfupi kuliko kusoma kumbukumbu ya mteja yeyote.

Rekodi matokeo, ikiwa ni pamoja na jina la kiolesura na kiambishi awali kilicholingana. Tiketi inayosema VPN ya pili ilivunja ya kwanza ni maelezo ya dalili, si kauli ya uelekezaji ambayo mtu anaweza kuitekeleza. Utafutaji unaigeuza kuwa ukweli ambao mhandisi anayefuata anaweza kuuzalisha kwa amri moja.

Windows: zuia wasifu mmoja kumiliki chaguomsingi

Windows huhifadhi wasifu zilizohifadhiwa, na mteja aliyejengwa huruhusu mmoja kutegemea mwingine ili wa kwanza uinuke kiotomatiki wakati wa pili unapopiga. Wasifu uliounganisha mwisho huwa na tabia ya kubaki na chaguomsingi, kwa hivyo mmiliki wa kivitendo ni upigaji wa mwisho na si wa kwanza. Ipe kila wasifu njia zake za push na uwashe split tunneling kwa ule ambao haupaswi kumiliki chaguomsingi.

Set-VpnConnection -Name "Contoso" -SplitTunneling $true
rasdial Contoso

Split tunneling hubadilisha hilo: ni viambishi awali vinavyosukumwa na seva pekee vinavyoingia kwenye jedwali, hilo huacha chaguomsingi kwa handaki ya kwanza. Muundo bado unashindwa ikiwa seva zote mbili zinasukuma njia chaguomsingi, kwa sababu wakati huo muunganisho wa mwisho hushinda na hakuna mpangilio wa upande wa mteja unaobadilisha hilo. Rekebisha push ya upande wa seva au kubali mmiliki mmoja.

Wasifu zinazoanzishwa na programu ni kipengele kingine na inafaa kujulikana: wasifu wa Windows unaweza kuanza wakati faili tekelezi iliyotajwa inaanza, na vichujio vya trafiki huamua kinachobeba. Hii ni mpangilio wa wasifu na si kanuni ya firewall, na hutatua tatizo tofauti na mgongano wa njia chaguomsingi.

Linux: weka handaki ya pili nje ya jedwali kuu

Kuendesha nakala mbili za openvpn --config kwenye mashine moja huweka wateja wote wawili kwenye jedwali moja, na chaguo tatu huwatenganisha kwa kutengwa kunakoongezeka. Rahisi zaidi ni kumzuia mteja wa pili kuhariri jedwali kabisa: route-nopull na njia zilizo wazi, au script ya route-up inayosakinisha tu kile unachokusudia. Kisha handaki ya pili hubeba viambishi awali ulivyotaja haswa na hakuna kingine. Kisha wewe huamua viambishi awali vipi vinaenda wapi badala ya kuvigundua baadaye.

Uelekezaji wa sera ni chaguo la kati. Kanuni huchagua jedwali tofauti kwa anwani moja ya chanzo au alama ya firewall, na jedwali hilo hubeba njia za handaki ya pili. Uchujio wa njia ya kurudi ndio mtego hapa, kwa sababu jibu linalofika kwenye kiolesura tofauti na kile jedwali lingechagua hutupwa, kwa hivyo angalia mpangilio rp_filter kabla ya kuhitimisha kuwa handaki imevunjika.

ip rule add from 10.44.7.0/24 table 100
ip route add default dev tun1 table 100
sysctl net.ipv4.conf.all.rp_filter

Nafasi za majina za mtandao ndizo chaguo zito zaidi na safi zaidi. Anzisha mteja wa pili ndani ya ip netns, mpe jozi la veth, na uingie kwenye nafasi hiyo ya majina ili kuitumia. Mwingiliano hutoweka kwa sababu kila nafasi ya majina inamiliki majedwali yake badala ya kushiriki moja, jambo linalostahili usanidi wa ziada wakati handaki zote mbili zinapaswa kubaki juu kwa wiki.

Kwa programu, na mnyororo kama tatizo tofauti

Wakati mwingine ni programu moja tu inapaswa kutumia handaki ya pili. Kwenye Linux, uelekezaji wa sera kwa mtumiaji, cgroup au lango hufikia matokeo hayo, na lengo moja linaweza kubandikwa kwenye kiolesura bila kugusa chaguomsingi kabisa. Programu inayobandika soketi yake kwenye kiolesura kimoja haishauriani na jedwali la uelekezaji kabisa, kwa hivyo kianzishi kinaweza kuendelea kutumia adapta halisi hadi anwani ichaguliwe katika mipangilio yake.

Mnyororo ni operesheni tofauti na kuendesha handaki mbili kando kando. Kuunganisha A juu ya B kunamaanisha anwani ya seva ya ndani lazima ifikiwe kutoka ndani ya handaki ya nje. Mteja wa nje pia hapaswi kudhani pakiti zilizosimbwa za mteja wa ndani ni uvujaji. Mteja mmoja ndani ya mashine pepe ni toleo gumu lakini la kuaminika; wote wawili kwenye mwenyeji mmoja wanahitaji kazi ya uelekezaji iliyo juu pamoja na njia ya nje kuelekea seva ya ndani ambayo haingii kamwe kwenye handaki ya ndani.

Andika mmiliki wa chaguomsingi, orodha ya viambishi awali vinavyobebwa na kila handaki na njia ya DNS. Mambo hayo matatu hufanya tukio linalofuata kuwa utafutaji badala ya uchunguzi.