Bakit natalo ng lokal na ruta ang default na ruta ng VPN

Patuloy na gumagana ang printer sa mesa pagkatapos umangat ang tunnel, habang ang isang server sa kabilang opisina ay tahimik na nalulutas sa isang lokal na bagay. Ang dalawang pag-uugali ay nagmumula sa iisang tuntunin: nananalo ang pinakaspesipikong ruta, at ang direktang konektadong prefix ay kasing espesipiko ng posible. Karaniwan ito ang disenyong gusto mo, at ganito rin nananakaw ng doble at pribadong saklaw ang isang malayong address. Ang basahin muna ang pinili ng kernel ay ginagawang paghahambing ng prefix ang isang mahiwagang pagkabigo.

Mas espesipiko ang konektadong prefix kaysa default na ruta

Karaniwang naglalagay ang tunnel ng default na ruta o isang hanay ng prefix, habang ang lokal na interface ay may konektadong prefix at ruta papunta sa buong LAN. Sa pagitan nila nagpapasya ang pinakamahabang tugma ng prefix, kaya ang destinasyon sa loob ng prefix ng LAN ay hindi kailanman umaabot sa tunnel. Ito ang dahilan kung bakit nananatiling maabot ang isang printer, ang pahina ng pangangasiwa ng router at isang lokal na NAS habang naka-on ang VPN. Ito rin ang dahilan kung bakit napupunta sa maling makina ang isang malayong mapagkukunan sa loob ng nagsasapaw na saklaw.

Hindi natatangi ang pribadong espasyo ng address, at ang dalawang site na pumipili ng parehong prefix ay karaniwan na para planuhin. Kapag nagsapaw ang mga saklaw, mabilis na dumarating ang lokal na sagot at mukhang may awtoridad, kaya madaling mabasa nang mali ang pagkabigo bilang problema sa pag-log in. Sumagot naman ang destinasyon, hindi lamang ang tinutukoy mo.

Basahin ang pipiliin ng kernel

Tanungin ang kernel kung aling ruta ang gagamitin nito para sa eksaktong destinasyon sa halip na basahin ang talahanayan mula sa itaas. Pagkatapos ay hanapin ang mga tuntunin ng patakaran na maaaring pumili ng ibang talahanayan. Dalawang utos ang sumasagot sa dalawang tanong sa loob ng ilang segundo.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Pinapangalanan ng unang output ang interface, ang susunod na hop at ang source address na gagamitin ng kernel, at iyon ang sagot na mahalaga. Ang halagang dev na nakaturo sa lokal na tulay ay nangangahulugang hindi kailanman pumapasok ang packet sa tunnel, anuman ang ipinapahayag ng status panel ng kliyente ng VPN. Ipinapakita ng sinasala na listahan ng talahanayan kung may parehong prefix ang ibang talahanayan, at ipinapakita ng listahan ng tuntunin ang pagkakasunod-sunod ng pagkonsulta sa mga talahanayang iyon. Maaaring magpadala ang isang tuntunin ng patakaran ng prefix sa isang partikular na talahanayan kahit hindi sumasang-ayon ang pangunahing talahanayan, kaya ang pagkakasunod-sunod na iyon ay bahagi ng sagot.

Hiwalay na pahintulot ang lokal na access

Ang magkaroon ng ruta ay hindi katulad ng may pahintulot na gamitin ito. Karamihan sa mga kliyente ay maaaring harangan ang lokal na komunikasyon sa network habang nakaangat ang tunnel, at ang setting na iyon ay desisyon sa patakaran, hindi artifact ng routing. Kapag kabilang sa disenyo ang isang pinagkakatiwalaang kalapit na serbisyo, i-on ang sinusuportahang opsyon sa lokal na access sa halip na mag-imbento ng ruta. Kapag nasa pampublikong Wi-Fi ang aparato, iwanan itong naka-off.

Magkaiba ang pagkabigo ng dalawang sapin. Ang harang na lokal na landas ay nagdudulot ng timeout kahit may ruta, habang ang nagsasapaw na ruta ay nagdudulot ng sagot mula sa maling host. Ang pagkilala sa kanila ay isang query lamang at nakakatipid ng isang hapon ng mga pagbabago sa firewall, at ang kaayusan ng pagpapasa ay inilarawan sa ang mga tala ng strongSwan tungkol sa pagpapasa.

Ayusin ang overlap nang hindi nagbubunton ng host route

Ang host route para sa isang address ay tila nag-aayos ng sapawan at nabibigo sa sandaling kailanganin ang pangalawang address sa parehong saklaw. Pagkalipas ng dalawampu nito, walang makapagsasabi kung aling prefix ang may awtoridad. Ang matibay na solusyon ay pagbabago ng addressing, dokumentadong topolohiya na umiiwas sa dobleng saklaw, o pagsasalin sa isang dulo. Bawat isa ay gumugugol ng oras sa pagpaplano nang isang beses sa halip na walang hanggang pagpapanatili.

Kung talagang kailangan ang pansamantalang host route, itala sa tabi nito ang dahilan, ang may-ari at ang petsa upang maalis ito sa hinaharap. Pagkatapos ay subukan ang eksaktong address at serbisyo kasama ang pampublikong destinasyon, dahil ang pagbabago sa lokal na access na tahimik na nagbubukod ng mga walang kaugnayang aplikasyon mula sa tunnel ay mas masahol pa kaysa sa orihinal na depekto. Itabi nang hiwalay ang lokal na prefix at ang malayong prefix; pinipigilan ng ugali na iyon ang isang gumaganang lokal na ping na maipasa bilang patunay na maabot ang malayong opisina.