Yerel bir rota VPN'in varsayılan rotasını neden yener

Masadaki yazıcı tünel açıldıktan sonra da çalışmaya devam ederken diğer ofisteki sunucu sessizce yerel bir şeye çözümlenir. İki davranış da aynı kuraldan gelir: en belirgin rota kazanır ve doğrudan bağlı bir önek olabildiğince belirgindir. Genellikle istediğiniz tasarım budur ve çift bir özel aralık uzak bir adresi tam böyle çalar. Önce çekirdeğin seçimini okumak gizemli bir arızayı önek karşılaştırmasına dönüştürür.

Bağlı bir önek varsayılan rotadan daha belirgindir

Bir tünel genellikle bir varsayılan rota veya bir önek kümesi kurar, yerel arayüz ise bağlı bir önek ve tüm LAN'a giden bir rota taşır. Aralarında en uzun önek eşleşmesi karar verir, bu yüzden LAN öneki içindeki bir hedef tünele asla ulaşmaz. Bu yüzden VPN açıkken bir yazıcı, yönlendiricinin yönetim sayfası ve yerel bir NAS erişilebilir kalır. Çakışan bir aralıktaki uzak kaynağın yanlış makineye gitmesi de bu yüzdendir.

Özel adres alanı benzersiz değildir ve iki sitenin aynı öneki seçmesi planlamaya değecek kadar yaygındır. Aralıklar çakıştığında yerel yanıt hızla gelir ve yetkili görünür, bu yüzden arıza kolayca oturum açma sorunu olarak yanlış okunur. Hedef yanıt verdi, yalnızca kastettiğiniz değil.

Çekirdeğin yapacağı seçimi okuyun

Tabloyu yukarıdan okumak yerine çekirdeğe tam hedef için hangi rotayı kullanacağını sorun. Ardından başka bir tablo seçebilecek ilke kurallarını arayın. İki komut her iki soruyu da birkaç saniyede yanıtlar.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

İlk çıktı arayüzü, sonraki atlamayı ve çekirdeğin kullanacağı kaynak adresi adlandırır ve önemli olan yanıt budur. Yerel köprüyü gösteren bir dev değeri, VPN istemcisinin durum paneli ne iddia ederse etsin paketin tünele hiç girmediği anlamına gelir. Filtrelenmiş tablo listesi başka bir tablonun aynı öneki tutup tutmadığını, kural listesi ise bu tablolara hangi sırayla başvurulduğunu gösterir. Bir ilke kuralı bir öneki belirli bir tablodan geçirebilir ana tablo aynı fikirde olmasa bile, yani bu sıra yanıtın bir parçasıdır.

Yerel erişim ayrı bir izindir

Bir rotaya sahip olmak, onu kullanma iznine sahip olmakla aynı şey değildir. Çoğu istemci tünel açıkken yerel ağ iletişimini engelleyebilir ve bu ayar yönlendirmenin yan ürünü değil, bir ilke kararıdır. Güvenilir bir yakın hizmet tasarımın parçasıysa, rota uydurmak yerine desteklenen yerel erişim seçeneğini açın. Aygıt ortak bir Wi-Fi ağındaysa kapalı bırakın.

İki katman farklı biçimde başarısız olur. Engellenen yerel yol rota var olsa bile zaman aşımı üretir, çakışan rota ise yanlış ana bilgisayardan yanıt üretir. Onları ayırmak tek bir sorguya mal olur ve güvenlik duvarı değişikliklerinden bir öğleden sonra kazandırır, iletme düzeni strongSwan'ın iletme notları içinde açıklanmıştır.

Ana bilgisayar rotalarını yığmadan çakışmayı düzeltin

Tek bir adres için ana bilgisayar rotası çakışmayı düzeltiyor gibi görünür ve aynı aralıkta ikinci bir adres gerektiği anda başarısız olur. Yirmi tanesinden sonra kimse hangi önekin yetkili olduğunu söyleyemez. Kalıcı çözümler adresleme değişikliği, yinelenen aralıktan kaçınan belgelenmiş bir topoloji veya bir uçta çeviridir. Her biri sonsuza kadar bakım yerine bir kez planlama zamanına mal olur.

Geçici bir ana bilgisayar rotası gerçekten gerekiyorsa, yanına nedeni, sahibini ve tarihi yazın ki sonradan kaldırılabilsin. Ardından tam adresi ve hizmeti artı genel bir hedefi test edin, çünkü ilgisiz uygulamaları sessizce tünelin dışında bırakan bir yerel erişim değişikliği ilk arızadan daha kötüdür. Yerel öneki ve uzak öneki ayrı ayrı yazılı tutun; bu alışkanlık çalışan bir yerel pingin uzak ofise ulaşıldığının kanıtı olarak dolaştırılmasını önler.