Die roetereel lees die pakketmerk, nie conntrack nie

Vier kontroles skei 'n werkende merkreeël van 'n werkende roete: watter merk die reël lees, of die pakket dit nog dra by die opsoek, of 'n verbindingsmerk op latere pakkette herstel is, en of die bypassende reël se masker en prioriteit dit toelaat om te vuur. 'n Teller wat optel bewys net dat een of ander reël iets gepas het. Dit sê niks oor wat die pakket gedra het toe die kern sy pad gekies het nie.

Die twee merke woon op verskillende plekke en verval volgens verskillende skedules.

Twee merke, twee lewensduurte

'n Pakketmerk behoort aan een skb, reis daarmee deur die hakke en word deur beleidroetering se fwmark-keuse verbruik. 'n Verbindingsmerk behoort aan die conntrack-inskrywing, bly oor die pakkette van daardie vloei heen en is onsigbaar vir die roetereël totdat iets dit terugkopieer. Om 'n pakketmerk in die verbinding te stoor is 'n stoor; om dit te herstel is 'n aparte aksie. Nie een gebeur outomaties nie.

Daarom kan 'n reëlstel konsekwent lyk terwyl die roetebesluit nul sien: die waarde is gestoor, en niks het dit herstel nie.

Kopieer tussen hulle is 'n stap wat jy skryf

Die twee stellings wat saak maak loop in teenoorgestelde rigtings: een stoor die pakket se merk in die verbinding, die ander laai die verbinding se merk op die pakket. Watter een jy nodig het hang af van wanneer klassifikasie ten opsigte van die vloei plaasvind. 'n Ontwerp het miskien net die pakketmerk nodig, en om conntrack-merking by te voeg omdat 'n noodoplossing albei gebruik het, is hoe 'n eenvoudige beleid 'n tweede foutmodus opdoen.

ct mark set meta mark
meta mark set ct mark

Skryf die rigting neer langs die reël, want dit is nie op die oog af uit die sintaksis duidelik nie. Die eerste reël stoor, die tweede herstel, en nie een impliseer die ander nie.

Klassifiseer voor die opsoek wat dit verbruik

Plaaslik gegenereerde verkeer en verkeer wat van 'n LAN aangestuur word, loop deur verskillende hakke en bereik roetebesluite op verskillende oomblikke. 'n Uitvoerreël wat vir die roeteerder se eie verbindings werk, bewys nie dat 'n aangestuurde kliënt se pakket voor sy opsoek gemerk is nie. Plaas klassifikasie waar die opsoek wat dit verbruik nog nie gebeur het nie, en kyk of latere reëls in dieselfde ketting die waarde oorskryf. Ordening binne 'n ketting is deel van die konfigurasie, nie 'n implementeringsdetail nie.

Volharding van verbindingstoestand het ook 'n eksplisiete plan nodig. As net die eerste pakket van 'n vloei geklassifiseer word, het latere pakkette die gestoorde merk nodig om herstel te word, anders neem hulle die ongemerkte pad. Dit is die verskil tussen 'n merk wat 'n verbinding beskryf en een wat 'n pakket beskryf.

Vra die roete 'n gemerkte vraag

ip route get 10.77.0.10 mark 0x2

Inspekteer die reëls en die tabel, en vra dan die roete met die merk ingesluit, plus die bron of inkomende koppelvlak wanneer dit die beleid beïnvloed. 'n Gewone ongemerkte opsoek antwoord 'n ander vraag en sal met graagte die pad rapporteer wat jy nie wou hê nie. Kontroleer die reël se masker en prioriteit sowel as sy waarde, en bevestig dat die gekose tabel 'n bruikbare roete bevat.

'n Optellende teller is bewys dat een of ander reël een of ander pakket gepas het. Dit is nie bewys dat die finale pakket die bedoelde merk op die regte besluitpunt gedra het nie.

Lees die merk, die rigting, die tydsberekening en die masker. Vier kontroles, en die roete hou op om 'n raaisel te wees.