/32 ünvan marşrutu VPN son nöqtəsini niyə əlçatan saxlayır

Qoşulduqdan sonra marşrut cədvəlini açırsınız və tuneldən keçən bir ünvan görürsünüz, onun ətrafındakı alt şəbəkə isə hələ də yerli şlüzə gedir. Bu giriş ünvan marşrutudur: bir ünvan, hamısı birlər olan prefikslə uyğunlaşdırılır. Bu vacibdir, çünki marşrut qərarları ən uzun uyğun prefiksi istifadə edir, yəni /32 heç birini dəyişmədən /24 və ya defolt marşrutu üstələyə bilər. Bunun diqqətli bir istisna, yoxsa gələcək bir kəsinti olduğu hansı ünvanı adlandırdığından və kimin saxladığından asılıdır.

Bir ünvan, cədvəldə bir giriş

IPv4 ünvan marşrutu /32 prefiksi, IPv6 ünvan marşrutu isə /128 daşıyır, yəni giriş tam bir təyinat ünvanına uyğun gələ bilər. Cədvəldə başqa heç nə yerini dəyişmir: əhatə edən alt şəbəkə və defolt marşrut olduqları yerdə qalır. Dar giriş həmin ünvan üçün qalib gəlir, çünki prefiksi daha uzundur, sonradan əlavə olunduğu üçün deyil.

Bu xassə ünvan marşrutunu yaxşı istisna və pis vərdiş edir. Bir xidmətin qapısını adlandıran iki /32 girişi onun ikinci ünvanını, IPv6 ünvanını və ya gələn ay köçdüyü ünvanı əhatə etmir. İzahsız tək ünvan girişləri ilə dolu cədvəl adətən kiminsə alt şəbəkə qərarı vermək əvəzinə onun ətrafında yamaq vurduğunu göstərir. Əvvəlcə prefiks uzunluğunu oxuyun, sonra girişin nəyi qorumalı olduğunu soruşun.

Girişi klientdən bayıra doğru oxuyun

Problemin olduğu maşindan başlayın, çünki eyni ünvan noutbukda və onun qarşısındakı şlüzdə fərqli marşruta düşə bilər. Cədvəli yuxarıdan oxumaq əvəzinə, nüvədən tətbiqin istifadə etdiyi dəqiq ünvan üçün hansı yolu seçəcəyini soruşun. Cavab interfeysi və növbəti atlamanı, birlikdə isə qərarı ehtiva edir.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Sorğunu tətbiqin həqiqətən seçdiyi ünvan ailəsi üçün təkrarlayın, çünki klient IPv6-nı üstün tutub IPv4 istisnasını səssizcə yan keçə bilər. Nəticəni tunel qalxmadan əvvəl və sonra müqayisə edin və hər iki çıxışı saxlayın. Bu müqayisə klientin girişi qoşulma anında əlavə etdiyini, yoxsa əvvəldən mövcud olduğunu göstərir.

Daimi giriş və işləmə vaxtı girişi fərqli şəkildə uğursuz olur. İşləmə vaxtı girişi sessiya ilə yox olur, daimi olan isə yenidən başlatmadan sonra da qalır və artıq mövcud olmayan şlüzə trafik göndərməyə davam edir.

Son nöqtə istisnası və rekursiya tələsi

VPN klientləri adətən serverin xarici ünvanına ünvan marşrutu quraşdırır və yalnız sonra defolt marşrutu yönləndirir. Həmin giriş olmadan şifrələnmiş paketlər qurmağa çalışdıqları tunelə göndərilərdi və bağlantı vaxtı bitənə qədər döngədə qalardı.

Tələ tunelin qəbul edilmiş alt şəbəkələri o son nöqtə ünvanını təsadüfən əhatə etdikdə və ya ikinci profil sonradan daha geniş marşrut əlavə etdikdə ortaya çıxır. Sonra son nöqtə girişi daha uzun prefiksə uduzur və sessiya trafik keçirməyə başlayan kimi dağılır. Son nöqtə ünvanını qəbul edilmiş alt şəbəkələrin yanında yazmaq toqquşmanı istifadəçilərdən əvvəl görməyin ən ucuz yoludur. Bu həm də eyni profilin bir şəbəkədən işləyib digərindən niyə uğursuz olduğunu izah edir.

Tətbiqin həqiqətən istifadə etdiyi yolu yoxlayın

Hostname-ə uğurlu ping, tətbiq fərqli ünvana və ya fərqli ailəyə qoşulduqda zəif sübutdur. Klienti işlədən maşından ünvan, ailə, port və interfeysin dəqiq kombinasiyasını yoxlayın.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Yol səhvdirsə, hər hansı dəyişiklik etməzdən əvvəl tələbin şəbəkə, yoxsa bir ünvan olduğuna qərar verin. Tək ünvan tələbi şərh və sahiblə ünvan marşrutunu əsaslandırır; ünvanları dəyişən xidmət domen əsaslı marşrutlaşdırma və ya dürüst alt şəbəkə qərarı tələb edir.

Artıq real təyinatla uyğunlaşmayan girişləri silin və saxladıqlarınızı qeyd edin. İzahsız /32 üç ay sonra səhvdən seçilmir və növbəti şəxs ondan nəyin asılı olduğunu bilmədən onu siləcək.