Што табліца маршрутызацыі VPN кажа вам і чаго не можа сказаць

Усталяваныя прэфіксы — гэта лакальныя інструкцыі перасылкі, а не інвентар аддаленых службаў. Чытайце табліцу дзеля таго, што яна даказвае, потым спытайце ўладальніка.

Вы падключаецеся, запускаеце спіс маршрутаў і бачыце падсетку, пра якую ніколі не чулі, скіраваную ў тунель. Гэты радок дакладна сцвярджае адно і зусім не сцвярджае некалькі іншых рэчаў. Ён фіксуе, як гэтая машына будзе перасылаць пакеты на гэты прэфікс, нічога пра тое, якія хасты там існуюць, і нічога пра тое, чаго можа дасягнуць ваш уліковы запіс. Правільнае чытанне займае хвіліну; чытанне як інвентара займае значна больш часу, каб адвучыцца.

Чытайце табліцу як лакальныя інструкцыі

Маршрут — гэта інструкцыя перасылкі, якую трымае лакальнае ядро: для гэтага прэфікса выкарыстоўвайце гэты інтэрфейс і гэты наступны крок. Даўжыня прэфікса вызначае, наколькі дакладная інструкцыя, і перамагае самае доўгае супадзенне. Нішто ў гэтым правіле не згадвае дазволы, стан службы ці аддаленую тапалогію.

Правілы палітыкі могуць умяшацца раней, чым табліца будзе прачытана, таму маршрут можа існаваць і ўсё ж не быць тым, які выкарыстоўвае пэўны пакет. Чытайце правілы разам з табліцай, потым спытайце ў ядра, які шлях яно выбрала б для пэўнага пункту прызначэння. Адказ для аднаго адраса каштоўнейшы за старонку прэфіксаў, і гэта адзіны адказ, які адлюстроўвае меткі, прасторы імёнаў і прывязкі інтэрфейсаў, ужытыя кліентам.

Шырокі прэфікс — не каталог

Прэфікс /16, накіраваны праз тунель, не азначае шаснаццаць тысяч дасягальных хастаў, а маршрут па змаўчанні азначае яшчэ менш. Сервер вырашае, хто адказвае, міжсеткавы экран вырашае, што дазволена, а ўліковы запіс вырашае, што аўтарызавана.

Вузкая табліца мае адваротную пастку: адсутны прэфікс можа азначаць, што пункт прызначэння дасягальны праз іншы шлях, або проста што ён зусім не маршрутызаваны. Гэтыя два выпадкі выглядаюць аднолькава, пакуль вы іх не праверыце. Параўнайце табліцу з рэсурсам, які вам сказалі выкарыстоўваць, а не з вашымі чаканнямі таго, што павінен утрымліваць VPN.

Адкуль бяруцца запісы

Маршруты прыходзяць як мінімум з чатырох месцаў: з файла канфігурацыі, ад сервера, які штурхае маршрут падчас усталявання злучэння, ад сеткавага менеджара, які валодае інтэрфейсам, і ад чалавека, які набірае каманду падчас інцыдэнту. Кожны мае свой час жыцця і свайго ўладальніка.

Той, што набралі падчас збою, — гэта той, які знікае пасля перазапуску і не з’яўляецца ні ў чыёй дакументацыі. Маршрут, прасунуты серверам, змяняецца, калі змяняецца сервер, таму невытлумачаны новы прэфікс часта з’яўляецца пасля абнаўлення шлюза, а не пасля змены кліента. Гэтае кіраўніцтва ip-route дакументуе сінтаксіс табліцы і палёў, калі вам трэба прачытаць сцягі.

Праверце маршрут супраць дамовы аб службе

Карыснае параўнанне — паміж табліцай і службай, якую вам абяцалі: назва, ахоп адрасоў, порт і ўладальнік. Запішыце гэтыя чатыры побач з прэфіксам, і прагалы стануць бачнымі.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Калі прэфікс ёсць, а служба ўсё яшчэ не працуе, табліца зрабіла сваю справу, і праблема ў іншым месцы: развязанне імёнаў, міжсеткавы экран на тым баку або ўліковы запіс без патрэбнай групы. Калі прэфікса няма, пытанне ў тым, хто павінен быў яго даць, а не што набіраць. Любы з двух адказаў называе каманду, у якой трэба спытаць далей, і гэта адзіны карысны вынік чытання табліцы маршрутаў. Запішыце гэтую назву перад тым, як зачыніць тэрмінал.

Запісвайце, што было да і пасля любой змены, з датай і інтэрфейсам. Табліца маршрутаў — гэта здымак аднаго моманту на адной машыне, і яна становіцца доказам толькі тады, калі нехта запісаў, калі яе знялі.

Падобныя артыкулы