Vì sao thứ tự bộ điều hợp không quyết định tuyến VPN của phòng lab

Việc bộ điều hợp 1 đứng đầu danh sách của hypervisor chỉ là thứ tự hiển thị, và bảng định tuyến của khách không đọc nó. Thứ quyết định đường đi là tiền tố, số đo và bất kỳ quy tắc chính sách nào áp dụng trước cả hai. Vì vậy, thêm một bộ điều hợp cầu vào VM phòng lab có thể tạo ra tuyến mặc định thứ hai trong khi giao diện NAT cũ vẫn hiện diện và được đánh số thứ hai. Kết quả là một VM lúc thì dùng đường hầm, lúc thì không, mà không có thay đổi cấu hình nào giải thích được.

Ba điều kiện quyết định đường đi

Ba điều kiện đó là tiền tố nào cụ thể hơn, số đo làm gì khi các tiền tố bằng nhau, và khách đã áp dụng những quy tắc nào sau khi thay đổi phần cứng. Mỗi điều đều trả lời được bằng một lệnh, và không điều nào liên quan đến cách đánh số của hypervisor.

Điểm cuối cùng đó chính là quyết định: nếu bạn không nói được tiền tố nào thắng cho chính địa chỉ của điểm cuối VPN, bạn không có chính sách định tuyến, bạn có một cấu trúc tình cờ hoạt động hôm nay.

Điều kiện một: tiền tố nào thắng

Một tuyến tới 10.8.0.0/24 đánh bại tuyến mặc định cho một địa chỉ bên trong nó, bất kể số đo và bất kể thứ tự bộ điều hợp. Đó là lý do một ứng dụng khách VPN cài tuyến cụ thể vẫn tiếp tục hoạt động ngay cả khi xuất hiện bộ điều hợp thứ hai có số đo thấp hơn: tính cụ thể thắng trước khi chi phí được xét đến. Hãy kiểm tra bằng ip route show bảng mà bạn cho là đang dùng, và bằng ip route get 203.0.113.9 câu trả lời mà nhân thực sự sẽ đưa ra cho một đích cụ thể.

Chính địa chỉ của điểm cuối là phép thử quan trọng nhất. Nếu địa chỉ của máy chủ VPN được phân giải qua bộ điều hợp cầu vừa thêm, đường hầm có thể không bao giờ được thiết lập, hoặc được thiết lập rồi mất chính đường vận chuyển của nó. Hãy hỏi riêng về địa chỉ đó thay vì giả định rằng giao diện đường hầm là câu trả lời.

Điều kiện hai: số đo làm gì và không làm gì

Vai trò của nó hẹp hơn phần lớn người ta tưởng. Số đo phá thế hòa giữa các tuyến tới cùng một tiền tố; chúng không cho phép tuyến rộng hơn đánh bại tuyến cụ thể hơn. Khi hòa, số nhỏ hơn được ưu tiên, và các hệ điều hành khác nhau đếm theo hướng ngược nhau, đó là lý do những lời khuyên chép giữa Linux và Windows thường mâu thuẫn với chính nó.

Trong khách, ip route show in số đo bên cạnh mỗi tuyến, và Get-NetRoute trên Windows in một InterfaceMetric cùng số đo tuyến. Hãy đọc cả hai, vì ưu tiên hiệu quả có thể là tổng chứ không phải một trường. Nếu có hai tuyến mặc định thì đó chính là phát hiện: khách có hai lối ra, và cái nào thắng phụ thuộc vào những con số mà thay đổi phần cứng có thể thay đổi.

Điều kiện ba: khách thực sự đã áp dụng gì

Cấu hình không giống trạng thái đã áp dụng. Tên giao diện không ổn định qua các thay đổi phần cứng trên mọi nền tảng, và một cấu hình khớp theo tên có thể giờ không áp dụng cho gì cả.

Hãy kiểm tra trạng thái đã áp dụng chứ không phải trạng thái dự định. ip -br link hiển thị các giao diện đang tồn tại, và trên máy chủ dùng NetworkManager nmcli connection show hiển thị hồ sơ nào gắn với thiết bị nào. Một hồ sơ không gắn được sẽ để giao diện bật mà không có địa chỉ, trông như vấn đề định tuyến nhưng thực ra là vấn đề đặt tên. Ảnh chụp nhanh được khôi phục làm tệ hơn, vì trạng thái đã lưu của khách có thể tham chiếu đến danh tính bộ điều hợp mà phần cứng mới không còn cung cấp.

Giữ cấu trúc phòng lab có thể tái tạo

Hãy lưu các kết nối mạng ảo dự định cùng với cấu hình của khách, để ánh xạ từ vai trò sang bộ điều hợp được ghi ra thay vì suy ra từ vị trí trong danh sách.

Thường bốn vai trò là đủ để đặt tên: liên kết riêng, quản trị, vận chuyển bên ngoài và đường hầm. Mỗi vai trò nên tương ứng với một bộ điều hợp cụ thể và một giao diện khách cụ thể, trong một tệp.

Sau đó hãy kiểm tra ứng dụng thực tế sau một lần thay đổi phần cứng, khởi động lại hoặc khôi phục ảnh chụp nhanh, và đưa tuyến tới điểm cuối VPN vào lần kiểm tra đó. Nếu VM cổng phải là lối ra duy nhất, hãy xác nhận VM kiểm tra không có tuyến mặc định thứ hai ngoài ý muốn, vì bộ điều hợp cầu thêm đúng tuyến mặc định thứ hai. Hãy kiểm tra từ khách, không từ bảng điều khiển của hypervisor, vì hai bên có thể không đồng ý về việc giao diện nào là giao diện nào.

Tài liệu mạng của VirtualBox mô tả các chế độ bộ điều hợp và mỗi chế độ gắn với gì, và đó là phần đáng đọc trước khi thêm cái thứ hai. Một phòng lab xác định bộ điều hợp nào phục vụ vai trò nào khiến thay đổi tuyến trở nên giải thích được. Một phòng lab dựa vào cách đánh số của hypervisor biến mọi thay đổi thành thử nghiệm.