Wat beleidsroetering aan VPN-verkeer verander, en wat nie

Beleidsroetering beantwoord 'n ander vraag as dié wat die meeste probleemoplossingsnotas vra. Die hoof tabel sê waar 'n bestemming heen gaan; beleidsreëls sê watter tabel hoegenaamd geraadpleeg word, en hulle kan dit aan die hand van die bronadres, 'n pakkiemerk, of die koppelvlak waarop 'n pakkie aankom, besluit. Wanneer 'n tonnel inkonsekwent optree, is die reëlstel dikwels die rede en die roetertabel dikwels nie.

Reëls kies die tabel, dan kies die tabel die roete

Elke reël dra 'n prioriteit, 'n pasvoorwaarde en 'n teikentabel. Die kern loop die reëls in prioriteitsorde deur en stop by die eerste passing, en doen dan 'n gewone langste-voorvoegsel-soektog in daardie tabel. 'n Reël wat na 'n leë tabel wys, val deur na wat die volgende reël kies, en dit is hoe 'n sorgvuldig geskrewe reël kan lyk of dit niks doen nie.

Dit is waarom dit selde 'n werkende VPN-kliënt verduidelik om die hoof tabel te stroop. Kliënte voeg gewoonlik reëls by lae prioriteitsnommers in, lank voor die hoof tabel se verstekreël, so die pakkie bereik nooit die roete waarna u gestaar het nie. Om 'n metriek in die hoof tabel te verlaag, verander niks vir verkeer wat reeds herlei is nie.

'n Reël kan ook doelbewus 'n voorvoegsel swartgat of onbereikbaar maak. Sommige kliënte voeg so 'n reël as 'n noodskakelaar by, en die val lyk dan soos 'n gebreekte tonnel eerder as 'n gekonfigureerde een.

Lees die reëlstel as 'n reeks, nie as 'n lys nie

Druk die reëls met hulle prioriteite en die tabelle waarna hulle verwys, en druk dan elke tabel wat 'n verstek- of 'n tonnelroete dra. Die orde is die deel wat saak maak, en dit is die deel wat 'n skermkiekie gewoonlik weglaat:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Die laaste twee opdragte is dié wat 'n teorie in 'n waarneming omskep, want hulle vra wat die kern vir daardie bron en daardie merk sou doen. As die antwoord verander wanneer die merk verander, is 'n merkgebaseerde reël in werking en enige toets wat die merk weglaat, toets 'n ander pakkie. Die buitenste verbinding verdien 'n eie reël. 'n Tonnel wat alle verkeer deur homself roeteer, moet die eindpuntadres waarheen hy verbind, uitsluit, anders word die versleutelde pakkies teruggestuur in die tonnel wat hulle pas verlaat het. Die meeste kliënte voeg daardie uitsluiting outomaties in, en 'n handmatig geredigeerde reëlstel is waar dit wegraak.

Merke en sockets: twee maniere waarop kliënte verkeer verdeel

Sommige kliënte merk pakkies in die firewall en voeg 'n reël by wat die merk pas. Ander gebruik roetering op socketvlak, en stel 'n roete op die socket voordat dit verbind. Die eerste is sigbaar in ip rule; die tweede nie, en dit sal nie in 'n generiese soektog verskyn nie.

As 'n toetsprogram anders optree as die toepassing wat dit veronderstel is om te verteenwoordig, kyk of die toepassing 'n merk stel of aan 'n toestel bind. Daardie verskil is nie 'n raaisel sodra die meganisme benoem is nie, en dit verduidelik waarom 'n curl uit 'n skulp en 'n bladsy-oortjie op dieselfde masjien verskillende paaie kan volg. Albei tegnieke is beleidsroetering in die breë sin: hulle kies 'n pad met iets anders as die bestemming. Nie een van hulle magtig die verkeer nie, en nie een vervang die firewallreëls of die geloofsbriewe wat die eweknie verwag nie.

Spoor eienaarskap na voordat u nog 'n reël byvoeg

Reëls word deur iets geïnstalleer. 'n VPN-kliënt, 'n netwerkbestuurder en 'n handgeskrewe script kan elk by die opstart reëls byvoeg, en herverbindingslogika kan die vorige stel agterlaat. Twee verouderde reëls uit 'n vroeëre profiel sal verkeer bly stuur lank nadat die profiel geskrap is.

Vind watter proses die reël besit aan die hand van sy prioriteit en sy vorm, en kyk of daardie eienaar die stel by elke verbinding herskryf. As hy dit doen, verdwyn 'n handmatige reël wat vandag bygevoeg is, môre, en die regstelling hoort in die kliënt se konfigurasie eerder as in 'n skulpgeskiedenis. Om die hele reëlstel skoon te maak om te toets, is 'n aanloklike kortpad met 'n voorspelbare prys: dit verwyder ook die reëls wat die kliënt nodig het om sy eie tonnel te laat werk. Skrap een reël op 'n slag, of toets op 'n masjien wat u kan herbegin.

Bewys die omvang met twee vloei, nie een nie

'n Regstelling word net geverifieer deur 'n vloei wat geraak moet word en 'n vloei wat nie moet nie. Kies 'n bestemming wat die beleid in die tonnel in roeteer, en een wat dit buite moet laat, en vergelyk dan die soektogte en die opnames vir albei:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Wanneer die twee soektogte verskillende koppelvlakke teruggee, doen die reël iets. Wanneer hulle dieselfde koppelvlak teruggee, pas die reël wyer as wat bedoel is, en dit is die fout wat stilweg 'n hele subnet deur 'n tonnel stuur wat vir een toepassing bedoel is.

Teken die reëlprioriteite en die diens wat die reëls besit in die kaartjie aan, saam met die twee toetsadresse. Die volgende persoon het dan 'n herhaalbare paar eerder as 'n beskrywing van 'n simptoom, en kan binne 'n minuut sê of beleidsroetering nog in werking is.