Dalawang VPN client nang sabay: sino ang nananalo sa default na ruta?

Ang pagpapatakbo ng dalawang VPN client nang sabay ay isang debate sa routing, hindi setting ng privacy. Ang tunnel na may hawak ng mas partikular na ruta ang tumatanggap ng trapiko, at ang isa ay nananatiling konektado pero walang ginagawa. Ang corporate gateway ay makikita ang koneksyong dumarating mula sa personal na labasan, habang ang corporate client sa iyong makina ay nakikita pa rin ang bawat adapter. Ang pagpapasya kung alin sa dalawang katotohanang ito ang mahalaga ay ang buong pagsasanay.

Pinipili ng talahanayan ng ruta ang isang panalo

Kunin ang talahanayan bago at pagkatapos magsimula ang corporate client, at basahin ang column ng interface kaysa sa destinasyon lamang. Ang ordinaryong default na ruta mula sa panlabas na tunnel ay madaling maalis, dahil ang /1 pares ay mas partikular kaysa /0. Ang literal na pares 0.0.0.0/1 at 128.0.0.0/1 ay sumasakop sa buong espasyo ng IPv4 sa dalawang hati at tinatalo ang anumang nag-iisang default. Kapag na-install, ang panlabas na tunnel ay nagpapakita pa rin ng konektado at wala itong dinadala.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Maaaring lampasan ng policy routing ang pangunahing talahanayan nang buo, kaya basahin ang mga patakaran at ang mga ruta. Ang patakarang nagpapadala ng minarkahang trapiko sa ibang talahanayan ay nananalo bago pa konsultahin ang pangunahing talahanayan. Ganito nananatili ang isang application sa pisikal na link habang ang lahat ng iba ay gumagamit ng tunnel.

ip rule show

Dinidiskarte ng Windows ito gamit ang metric

Sa Windows ang panalo ay ang rutang may pinakamababang metric para sa destinasyon, at dalawang client ay maaaring parehong mag-install ng default na ruta na may magkaibang metric. Basahin ang talahanayan at ang configuration ng interface nang sabay, dahil ang adapter na may mas mababang metric ay hindi laging ang inaasahan mo. Ang client na nagtatakda rin ng interface metric ay maaaring ilipat ang default nang hindi nagdaragdag ng kahit isang ruta. Ang adapter na natatalo ay nananatiling bukas at wala lang natatanggap.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Ihambing ang dalawang output at pangalanan ang interface na may hawak ng 0.0.0.0/0. Kung parehong nag-aangkin ang dalawang client, ang metric ang magpapasya, kaya ang pagsubok ng pagkakasunod-sunod ng koneksyon ay maaaring magmukhang hindi pare-pareho sa iba't ibang makina. Kung wala sa mga output ang nagpapakita ng default gateway, hindi tumatakbo ang client sa buong tunnel at walang saysay ang argumento ng chain.

Dalawang tagamasid, dalawang magkaibang pananaw

Nakikita ng remote gateway ang isang koneksyong dumarating mula sa panlabas na labasan at lahat ng ipinapasa ng client sa tunnel nito. Nakikita ng lokal na client ang mga adapter, ruta at ang pagkakaroon ng isa pang tunnel, dahil tumatakbo ito nang may pribilehiyo na likhain ang mga ito. Ang paghihiwalay ng mga pananaw na ito ang punto; ang pagsasabing hindi ito mapapansin ng client ay hindi.

Ipagpalagay na kayang ilista ng client ang kahit anong gusto nito, at magplano para sa pananaw ng gateway sa halip. Ang disenyong umaasa sa pagiging bulag ng client ay isang update lang ang layo sa pagkasira.

Ang DNS at IPv6 ang lugar kung saan tumatagas ang chain

Sumusunod ang DNS sa alinmang setting ng resolver na manalo, at hindi iyon kinakailangang ang landas na tinatahak ng mga packet. Ang corporate resolver na naabot sa pamamagitan ng corporate tunnel ay naaayon sa disenyo; ang lokal na resolver na naabot sa labas nito ay hindi, at inilalantad nito ang mga pangalang dapat itago ng tunnel. Ang IPv6 ang pangalawang tagas: ang dual-stack host ay patuloy na gumagamit ng IPv6 patungo sa mga destinasyong dinadala ng tunnel sa IPv4 lamang. Suriin ang mga pamilya nang hiwalay, dahil ang tunnel na IPv4 lamang ay walang sinasabi tungkol sa mga ruta o resolver ng IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Ayusin ang resolver at ang rutang IPv6 nang sadya kaysa magpatong ng pangalawang tunnel. Ang dobleng encapsulation ay kumakain din ng MTU, kaya ang mas maliit na panloob na MTU ang unang dapat subukan kapag nag-hang ang mga pahina pagkatapos umangat ang chain. Ang resolver na mabilis sumagot ay hindi patunay na ito ang tama.