Запуск другого VPN замінює стан першого

Два клієнти, дві іконки підключення й переконання, що трафік тепер іде через обидва. Порівняйте це переконання з тим, що насправді дозволяє кожна платформа. На телефоні зазвичай є рівно одне місце для служби VPN; на настільному комп'ютері можуть працювати кілька клієнтів, які борються за ті самі маршрути й той самий резолвер. Різниця між цими двома ситуаціями пояснює більшість повідомлень про те, що VPN падає, коли запускається інший.

Іконки описують процеси, а не ланцюг.

Одне місце на телефоні, кілька претендентів на комп'ютері

В Android платформа пропонує модель служби VPN з одним активним VPN на профіль користувача, тому запуск другої зупиняє першу. Це система застосовує власне правило, а не помилка в якомусь із клієнтів. На настільному комп'ютері кілька клієнтів можуть працювати одночасно, і тоді вони конкурують за таблицю маршрутизації, правила політики, конфігурацію резолвера й віртуальні інтерфейси. Обидва результати — це платформа, що працює як задумано.

Жоден із результатів сам по собі не створює вкладений тунель. Ланцюг потребує, щоб один тунель ніс зашифровані пакети іншого, а це архітектура, а не випадковість порядку.

Що перезаписує другий клієнт

Другий клієнт зазвичай встановлює маршрут за замовчуванням, додає власні правила та просуває власний резолвер. Перший може залишитися процесом без трафіку або зберегти маршрут, який більше не перемагає. Маршрути для конкретних доменів зазвичай стають жертвою, тому одні призначення продовжують працювати, а інші ні. Видимий симптом — відключення, а фактичний стан — часткова заміна.

Перевірка вихідної IP-адреси цього не виявить. Вона повідомляє одну адресу для одного призначення й нічого не каже про те, які маршрути було перезаписано або який резолвер тепер відповідає. Щоб побачити шкоду, прочитайте таблицю маршрутизації та стан резолвера.

Вкладення — це проєкт, а не порядок кліків

Якщо вкладення задумано, задокументуйте зовнішній шлях кожної кінцевої точки, її політику відмови та наслідки для MTU. Вирішіть, що відбувається, коли зовнішній тунель падає, поки внутрішній усе ще вважає себе підключеним. Запуск клієнтів у вдалому порядку не є конфігурацією, бо наступне оновлення або перепідключення змінить їхній порядок. Вкладене розташування потребує такої ж уваги, як будь-яка інша топологія.

Коли одне з'єднання для роботи, а інше особисте, покладайтеся на будь-яку ізоляцію або кероване розташування, яке підтримує платформа. Виривання корпоративних засобів контролю не є стратегією розділення.

Перевіряйте програмою, а не іконкою

Перевіряйте програми, які справді важливі, з кожного контексту, який ви плануєте використовувати, і включіть у тест поведінку резолвера та перепідключення. Кінцева адреса виходу не може визначити кожен перезаписаний маршрут, а зелена іконка не може визначити жодного з них. Запишіть, кому належить з'єднання і яка комбінація насправді підтримується.

Якщо продукт явно не підтримує співіснування з іншим, випадкова зміна маршруту або дозволу не створить підтримуване розгортання. Вона створить таке, що працює до наступного оновлення.

Запишіть, який клієнт володіє маршрутом за замовчуванням, який резолвер відповідає і що відбувається, коли кожен із них зупиняється.