Boş VPN cədvəli özlüyündə heç nəyi bloklamır

Siyasət qaydası işarələnmiş paketləri ayrılmış cədvələ göndərir və adi gözlənti VPN marşrutunun itməsinin onları bloklamasıdır. Mexanizm başqa bir şey edir. Cədvəldə uyğun marşrut olmadıqda, axtarış növbəti qaydaya keçir dayanmaq əvəzinə, və main cədvəli hələ də uplink üçün adi defolt marşrut saxlayır. Nəticə fail-closed görünən, lakin fail-open davranan bir konfiqurasiyadır.

Heç nə pozulmayıb; siyasət əsaslı marşrutlaşdırma belə müəyyən edilib.

Cədvəldə Heç Nə Olmadıqda Axtarış Davam Edir

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Bu qayda dəstini götürün: işarələnmiş axtarış 42 cədvəlinə gedir, sonrakı qayda isə eyni işarəni default adlı cədvələ göndərir. 42 cədvəli istifadə oluna bilən defolt marşrut saxladıqca birinci axtarış yolu təmin edir. Həmin marşrut yox olduqda və 42 cədvəlində başqa heç nə uyğun gəlmədikdə, axtarış atma əməliyyatına çevrilmir; emal növbəti qaydaya keçir, o da heç nə tapmadıqda main cədvəlinə çatır. Bu ardıcıllıqda heç nə son cavabı hansı qaydanın verdiyini bildirmir, ona görə də işləyən bağlantı işləyən siyasət kimi görünür.

Ənənəvi olaraq default adlandırılan 253 cədvəli adi marşrutlaşdırma cədvəlidir və normalda boşdur. Onun adı paketləri atmaq əmri deyil və cədvəl daxilindəki defolt təyinat marşrutu ilə eyni şey deyil.

Son Hərəkətlər Axtarışı Bitirir

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Son qayda boş cədvəl axtarışı əvəzinə VPN axtarışından sonra gələ bilər. Eyni işarə ilə, 42-ci cədvəl qaydasından sonra yerləşdirilən prohibit hərəkəti həmin cədvəl heç nə vermədikdə axtarışı bitirir və main cədvəlinə yeni şans vermək əvəzinə inzibati rədd qaytarır. Unreachable və blackhole da son hərəkətlərdir, göndərən üçün fərqli xəta davranışı ilə.

throw tipli marşrut fərqlidir: həmin cədvəl daxilində heç nə uyğun gəlməmiş kimi davranır, buna görə sonrakı qaydalar öz növbəsini alır. Bu, throw-u qəsdən geri dönüş üçün faydalı, son blok kimi isə yanlış edir.

Həqiqi işarə və interfeyslə yoxlayın

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Diaqram əvəzinə həqiqi qaydaları və cədvəli yoxlayın, sonra axını həqiqətən malik olduğu mənbə, işarə və giriş konteksti ilə sorğulayın. Təyinat ünvanına yönəlmiş, mənbə ünvanı, interfeys və işarə verilən yalnız-oxuma axtarışı paket çıxmadan kernelin seçəcəyi marşrutu bildirir. Sorğuda işarə vermək firewall-un real trafiki işarələdiyini sübut etmir; bu, işarələmə qaydalarının ayrıca yoxlanmasıdır. Sorğudan nəticə çıxarmazdan əvvəl dəyəri sayğac və ya log ilə təsdiqləyin.

Lokal yaradılan sorğular öz kontekstinə ehtiyac duyur, çünki onların işarələmə yolu çox vaxt ötürülən trafikinkindən fərqlənir. Onları tətbiqin həqiqətən istifadə edəcəyi çıxış interfeysi ilə yoxlayın.

İki nasazlıq vəziyyəti, bir yox

Bir nasazlıq vəziyyəti VPN marşrutunun yox olması və trafikin uplink-ə düşməsidir. Marşrutu quraşdırılmış qalan ölü tunel başqa bir vəziyyətdir: paketlər keçmək əvəzinə istifadəsiz yola yönəlməyə davam edir və simptom görünən birbaşa bağlantı deyil, səssiz itkidir. Hər ikisini, həmçinin başlama, yenidən qoşulma və xidmətin dayandırılması davranışını yoxlayın.

Belə qayda yalnız mövcud olduqca və paketlər onu seçən işarəni daşıdıqca kömək edir. Qaydanı silən söndürmə skripti və ya işarəni çıxaran yol açıq davranışı bərpa edir. Bu keçidləri məşq etməyə dəyər.

Siyasəti IPv6-ya ayrıca tətbiq edin və təsdiqlənmiş son nöqtə istisnalarını nəzərdə tutulan deyil, açıq saxlayın.