Bir vaqtda ikkita VPN mijozi: standart marshrutni kim yutadi?

Bir vaqtda ikkita VPN mijozini ishga tushirish marshrutlash bahsi, maxfiylik sozlamasi emas. Qaysi tunnel aniqroq marshrutga ega bo'lsa, trafikni o'sha oladi, ikkinchisi esa ulangan holda bo'sh turadi. Korporativ shlyuz o'shanda shaxsiy chiqishdan kelayotgan ulanishni ko'radi, holbuki mashinangizdagi korporativ mijoz hali ham har bir adapterni ko'radi. Bu ikki faktning qaysi biri muhimligini hal qilish butun mashqdir.

Marshrut jadvali bitta g'olibni tanlaydi

Korporativ mijoz boshlanishidan oldin va keyin jadvalni oling, va faqat manzilni emas, interfeys ustunini o'qing. Tashqi tunneldan keladigan oddiy standart marshrutni siqib chiqarish oson, chunki /1 juftligi /0 dan aniqroq. So'zma-so'z juftlik 0.0.0.0/1 va 128.0.0.0/1 butun IPv4 maydonini ikki yarmda qamrab oladi va har qanday yagona standartdan ustun keladi. O'rnatilgandan keyin tashqi tunnel hali ham ulangan ko'rinadi va hech narsa tashimaydi.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Siyosatga asoslangan marshrutlash asosiy jadvalni butunlay chetlab o'tishi mumkin, shuning uchun qoidalarni ham, marshrutlarni ham o'qing. Belgilangan trafikni boshqa jadvalga yuboradigan qoida asosiy jadvalga murojaat qilishdan oldin yutadi. Shunday qilib bitta ilova jismoniy havolada qolishi mumkin, qolgan hamma tunnel ishlatganda.

ip rule show

Windows buni metrikalar bilan hal qiladi

Windows da g'olib manzil uchun eng past metrikaga ega marshrut, va ikki mijoz har xil metrikalar bilan standart marshrut o'rnatishi mumkin. Jadval va interfeys konfiguratsiyasini birga o'qing, chunki past metrikali adapter har doim siz kutgan narsa emas. Interfeys metrikasini ham o'rnatadigan mijoz bitta ham marshrut qo'shmasdan standartni siljitishi mumkin. Yutqazgan adapter yoniq qoladi va shunchaki hech narsa olmaydi.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Ikki chiqishni solishtiring va 0.0.0.0/0 ga ega interfeysni nomlang. Agar ikki mijoz ham unga da'vo qilsa, metrika hal qiladi, shuning uchun ulanish tartibi testi turli mashinalarda nomuvofiq ko'rinishi mumkin. Agar hech bir chiqish standart shlyuzni ko'rsatmasa, mijoz to'liq tunnelda ishlamaydi va zanjir dalili ma'nosiz.

Ikki kuzatuvchi, ikki xil qarash

Uzoq shlyuz tashqi chiqishdan kelayotgan bitta ulanishni va mijoz o'z tunneliga uzatayotgan hamma narsani ko'radi. Mahalliy mijoz adapterlar, marshrutlar va boshqa tunnel mavjudligini ko'radi, chunki ularni yaratish huquqi bilan ishlaydi. Bu qarashlarni ajratish — asosiy masala; mijoz sezmaydi deb da'vo qilish emas.

Mijoz xohlagan narsani sanab bera oladi deb faraz qiling va buning o'rniga shlyuz qarashiga rejalashtiring. Mijozning ko'r bo'lib qolishiga bog'liq dizayn buzilishdan bitta yangilanish uzoqda.

DNS va IPv6 zanjir oqadigan joylardir

DNS qaysi resolver sozlamasi yutsa, o'shanga ergashadi, va bu paketlar yuradigan yo'l bo'lishi shart emas. Korporativ tunnel orqali yetib boriladigan korporativ resolver dizaynga mos keladi; undan tashqarida yetib boriladigan mahalliy resolver mos kelmaydi va tunnel yashirishi kerak bo'lgan nomlarni ochib beradi. IPv6 ikkinchi oqish: ikki stekli xost tunnel faqat IPv4 orqali tashiydigan manzillar tomon IPv6 ishlatishda davom etadi. Oilalarni alohida tekshiring, chunki faqat IPv4 tunneli IPv6 marshrutlari yoki resolverlari haqida hech narsa demaydi.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Resolver va IPv6 marshrutini ataylab to'g'rilang, ustiga ikkinchi tunnel taxlash o'rniga. Ikki qavatli inkapsulyatsiya MTU ni ham sarflaydi, shuning uchun zanjir ko'tarilgandan keyin sahifalar qotib qolsa, kichikroq ichki MTU birinchi sinab ko'riladigan narsadir. Tez javob beradigan resolver uning to'g'riligiga dalil emas.