Чаму выдалены маршрут VPN вяртаецца пасля перападключэння

Выдаленне жывога маршруту нічога не змяняе, калі профіль, push або загрузкавы юніт стварае яго зноў. Знайдзіце ўладальніка, змяніце там і праверце пры перападключэнні.

Маршрут, які вы выдалілі ўручную, вяртаецца пасля наступнага перападключэння, і табліца выглядае дакладна так жа, як раней. Гэта не памылка маршрутызацыі: нешта стварае запіс зноў з канфігурацыі або з дзеяння жыццёвага цыклу злучэння. Большасць runbook'аў спыняюцца на жывой табліцы, таму выдаленне выглядае як тое, што працуе хвіліну, а потым правальваецца. Вызначце ўладальніка, змяніце яго і дакажыце гэта пры перападключэнні.

Хто ўсталяваў маршрут

Пачніце са спісу кандыдатаў, а не з выпраўлення. Профіль VPN можа несці ўласныя маршруты, сервер можа адпраўляць іх у момант падключэння, профіль сеткавага менеджэра можа аб'яўляць іх, загрузкавы юніт або скрыпт можа дадаваць іх, а рэалізацыі IPsec усталёўваюць маршруты для селектараў трафіку, якія яны ўзгадняюць. Правілы маршрутызацыі палітык таксама могуць цалкам перанакіроўваць трафік у іншую табліцу.

Час раздзяляе іх хутчэй, чым археалогія канфігурацыі. Запіс, які з'яўляецца ў момант уздыму інтэрфейса, належыць кліенту; той, што прыходзіць праз секунду, звычайна прыйшоў ад push сервера; той, што ёсць пры загрузцы, належыць захаванай канфігурацыі. Зафіксуйце табліцу да і пасля падключэння, адключэння і перазагрузкі, і ўзор назаве ўладальніка. Маршрут, які вяртаецца толькі пры перазапуску службы, паказвае на юніт, а не на VPN.

Прачытайце табліцу перад рэдагаваннем

Глядзіце на ўласнае прадстаўленне ядра, а не на захаваны файл. Слупок пратаколу паказвае, што ўсталявала кожны запіс:

ip route show
ip route show table all
ip rule show

Поле пратаколу, метрыка і нумар табліцы паведамляюць, ці глядзіце вы на статычны запіс, запіс, створаны ядром, ці на нешта, дададзенае домонам. Спіс правілаў важны, бо пошук можа цалкам пакінуць асноўную табліцу, і тады праўка там будзе нябачнай для праграмы, якую вы адладжваеце. Чытайце радок злева направа: прызначэнне, шлюз, прылада, пратакол і метрыка.

Затым спытайце ў ядра, які маршрут ён насамрэч выкарыстае. Абаронены адрас — лепшы зонд, чым публічны:

ip route get 10.20.5.7

Змяніце ўладальніка, а не сімптом

Калі ўладальнік вядомы, змена належыць менавіта яму. Выдаліце маршрут з профілю кліента, выпраўце адпраўлены маршрут на серверы або адрэдагуйце злучэнне сеткавага менеджэра замест таго, каб дадаваць канкурэнтны пастаянны маршрут, які перамагае па метрыцы. Два правілы, якія змагаюцца адно з адным, ствараюць табліцу, якую потым ніхто не зможа растлумачыць.

Захавайце выключэнне канчатковага пункта. Маршрут да хоста, які накіроўвае ўласны публічны адрас сервера VPN праз фізічны шлюз, — гэта тое, што падтрымлівае рух знешніх пакетаў тунеля; выдаліце яго, і тунель паспрабуе несці сам сябе. У профілі split-tunnel тая ж асцярожнасць тычыцца лакальных падсетак, якія павінны абыходзіць тунель.

Перападключыцеся і праверце абодва шляхі

Перападключыцеся, затым праверце абодва пункты прызначэння за адзін праход. Абаронены адрас і выключаны канчатковы пункт адказваюць на розныя пытанні:

ip route get 10.20.5.7
ip route get 198.51.100.20

Першы павінен вырашацца праз інтэрфейс тунеля, а другі — праз фізічны шлюз. Калі абодва вырашаюцца праз тунель, выключэнне адсутнічае; калі ні адзін, змена профілю не ўступіла ў сілу, і вы глядзіце на іншага ўладальніка, чым думалі.

Запішыце прызначэнне маршруту, яго ўладальніка і колькі ён павінен жыць. Гэтая нататка — тое, што не дазваляе наступнаму чалавеку паўтарыць той жа цыкл выдалення і перападключэння.

Падобныя артыкулы