SoftEther VPN User Forum

添付の構成で組んだ際、Juniper SRXが不安定な挙動をいたしました。

意図して行ったわけでは無いのですが、
RDP ZoneにWin10のノートPCを繋ぎ、物理NICと仮想NICに同じセグメントのIPが割当たったタイミングで、
Juniper SRXの通信が不安定になりだした次第です。

仮想NICとはいえ、NICが2枚刺しで、かつデフォルトゲートウェイが同じIPを指している状況なのですが、この様な状態になるとネットワークが不安定になり得ますでしょうか？

構成としては望ましく無いかどうかを知りたい次第です。

よろしくお願いいたします。

物理NICと仮想NICで同じセグメントのIPアドレスが割り当てられたPCでは、NICの優先順位によって、どちらかが無視されます。
物理NICが無視された場合は、VPN 通信を維持できなくなり、切断状態となるはずです。

OS の TCP/IP スタックが正常であれば、上流のルーターには、特に大きな悪影響はないはずです。

ご返信ありがとうございます。
やはり上位のルータにまで影響が及ぶのはおかしいですよね。。。

挙動としては別途Juniper SRX複数台で組んでいるVPNセッションが不安定になり、テスト中に他拠点からネットワークが切れたと連絡が入った次第です。
各拠点のJuniper SRXのグローバルにPINGを飛ばしてみたところ、数回TimeOutが発生して繋がってを繰り返している感じでした。
急いでSoftEther側のネットワークを物理的に切り離して暫く様子を見ていたのですが、切断以降も若干のTimeOutが見受けられましたが徐々に安定を取り戻して言った感じです。
同じセグメントのIPが当たることでネットワークがループしたような挙動をしたのかなと、その時は思った次第です。

テストした際はNICのメトリック値をデフォルト状態にしていたので、物理NICが優先度が高くなるように仮想NIC側のメトリック値を設定してみようと思います。

個人的には物理NICと仮想NICに同じセグメントのIPが当たらないようネットワーク構成を見直した方が良いかと思っているのですが、ご見解をお聞かせいただけると助かります。

IP アドレスとは関係のない、イーサネットレベルのループができていた可能性もありますね。
現象が再発するようなら、パケットキャプチャを取ってみるのが良いと思います。

同一 PC で IP セグメントが重なると、他の機器に障害を起こさなかったとしても、どちらかのネットワークが使用できない状態になるので、構成の見直しは必要だと思います。

お礼が遅くなり申し訳ございません。
ご意見をお聞かせいただき、ありがとうございました。
色々試して、構築を進めていきたいと思います。

VPN CLIENTの高度な通信設定の「ルーティングテーブルの調整処理を行わない」にチェックが入っていると思います。
チェックを外して、トライしてみてください。不安定は解消されるのでは。

VPN通信に使用するTCPコネクションを複数使用した場合、
TCP１本目のコネクションとTCP２本目以降のコネクションのVPN接続元IPアドレスが違うためと推測。
これが原因で、ループを起こしている可能性が考えられます。
https://www.vpnusers.com/viewtopic.php?f=15&t=67780

接続元IPアドレスが異なるコネクションが発生する現象について。
①
・TCP１本目のコネクションが物理LANカードとVPN SERVER間で確立する（セッションが確立後、仮想NICのIPアドレスが確定？）。
・OSはルーティングテーブルに仮想NICのルートを６行追加する。
・下記は仮想NICが192.168.161.110の例です。メトリックは値が違うかもしれませんが。

0.0.0.0 0.0.0.0 192.168.160.41 192.168.161.110 2
192.168.161.0 255.255.255.0 リンク上 192.168.161.110 257＜ーーー※１
192.168.161.110 255.255.255.255 リンク上 192.168.161.110 257
192.168.161.255 255.255.255.255 リンク上 192.168.161.110 257
224.0.0.0 240.0.0.0 リンク上 192.168.161.110 257
255.255.255.255 255.255.255.255 リンク上 192.168.161.110 257

※１：TCP２本目以降のコネクションはロンゲストマッチによりこのルートが採用される。


②
・TCP２本目以降のコネクションはロンゲストマッチ（パケットの転送先を選択するルール）により、※１のルート（仮想NIC）が採用される。
・物理NICのデフォルトGWのルートがあっても、そのルートは採用されない。
・なので、TCP２本目以降のコネクションが仮想NICとVPN SERVER間で確立する。