Vì sao tuyến nội bộ thắng tuyến mặc định của VPN

Máy in trên bàn vẫn hoạt động sau khi đường hầm được dựng lên, trong khi một máy chủ ở văn phòng kia lặng lẽ phân giải thành một thứ gì đó nội bộ. Cả hai hành vi đều đến từ cùng một quy tắc: tuyến cụ thể nhất thắng, và một tiền tố được kết nối trực tiếp là cụ thể nhất có thể. Thông thường đó là thiết kế bạn muốn, và cũng chính cách một dải riêng trùng lặp đánh cắp một địa chỉ từ xa. Đọc lựa chọn của nhân trước sẽ biến một lỗi bí ẩn thành phép so sánh tiền tố.

Tiền tố được kết nối cụ thể hơn tuyến mặc định

Một đường hầm thường cài tuyến mặc định hoặc một tập tiền tố, trong khi giao diện nội bộ mang một tiền tố được kết nối cùng tuyến tới toàn bộ LAN. Giữa chúng, việc khớp tiền tố dài nhất quyết định, nên một đích bên trong tiền tố LAN không bao giờ đến được đường hầm. Đó là lý do máy in, trang quản trị của bộ định tuyến và một NAS nội bộ vẫn truy cập được khi VPN đang bật. Đó cũng là lý do một tài nguyên từ xa trong dải chồng lấn đi đến máy sai.

Không gian địa chỉ riêng không phải là duy nhất, và việc hai trang chọn cùng một tiền tố là đủ phổ biến để lên kế hoạch. Khi các dải chồng lấn, câu trả lời nội bộ đến nhanh và trông có thẩm quyền, nên rất dễ đọc sai lỗi thành vấn đề đăng nhập. Đích thực sự đã trả lời, chỉ là không phải đích bạn định.

Đọc lựa chọn mà nhân sẽ đưa ra

Hỏi nhân xem nó sẽ dùng tuyến nào cho đích chính xác thay vì đọc bảng từ trên xuống. Sau đó tìm các quy tắc chính sách có thể chọn một bảng khác. Hai lệnh trả lời cả hai câu hỏi trong vài giây.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Kết quả đầu tiên nêu giao diện, bước nhảy tiếp theo và địa chỉ nguồn mà nhân sẽ dùng, và đó là câu trả lời quan trọng. Một giá trị dev trỏ tới cầu nội bộ nghĩa là gói tin không bao giờ vào đường hầm, bất kể bảng trạng thái của ứng dụng VPN nói gì. Danh sách bảng đã lọc cho thấy liệu bảng khác có cùng tiền tố không, và danh sách quy tắc cho thấy thứ tự các bảng đó được tham chiếu. Một quy tắc chính sách có thể gửi tiền tố qua một bảng cụ thể ngay cả khi bảng chính không đồng ý, nên thứ tự đó là một phần của câu trả lời.

Truy cập nội bộ là một quyền riêng

Có một tuyến không giống với được phép dùng nó. Hầu hết ứng dụng có thể chặn liên lạc mạng nội bộ khi đường hầm đang bật, và cài đặt đó là quyết định chính sách, không phải hệ quả của định tuyến. Khi một dịch vụ gần đáng tin thuộc về thiết kế, hãy bật tùy chọn truy cập nội bộ được hỗ trợ thay vì bịa ra tuyến. Khi thiết bị ở trên Wi-Fi công cộng, hãy để nó tắt.

Hai lớp hỏng theo cách khác nhau. Một đường nội bộ bị chặn tạo ra hết thời gian dù tuyến có tồn tại, trong khi một tuyến chồng lấn tạo ra câu trả lời từ máy sai. Phân biệt chúng chỉ tốn một truy vấn và tiết kiệm một buổi chiều sửa tường lửa, và cách bố trí chuyển tiếp được mô tả trong các ghi chú chuyển tiếp của strongSwan.

Sửa chồng lấn mà không chất đống tuyến máy chủ

Một tuyến máy chủ cho một địa chỉ có vẻ sửa được chồng lấn và hỏng ngay khi cần địa chỉ thứ hai trong cùng dải. Sau hai mươi tuyến như vậy, không ai có thể nói tiền tố nào là có thẩm quyền. Các giải pháp bền vững là thay đổi cách đánh địa chỉ, một sơ đồ mạng được ghi lại tránh dải trùng lặp, hoặc dịch ở một đầu. Mỗi cách tốn thời gian quy hoạch một lần thay vì bảo trì mãi mãi.

Nếu thực sự cần một tuyến máy chủ tạm thời, hãy ghi lý do, người phụ trách và ngày bên cạnh để sau này có thể gỡ bỏ. Sau đó kiểm tra địa chỉ và dịch vụ chính xác cùng một đích công cộng, vì một thay đổi truy cập nội bộ lặng lẽ loại trừ các ứng dụng không liên quan khỏi đường hầm còn tệ hơn lỗi ban đầu. Giữ tiền tố nội bộ và tiền tố từ xa được ghi riêng; thói quen đó ngăn một ping nội bộ đang hoạt động bị truyền tay như bằng chứng rằng văn phòng từ xa truy cập được.