Какво ви казва таблицата на маршрутите на VPN и какво не може

Свързвате се, изпълнявате списък на маршрутите и виждате подмрежа, за която никога не сте чували, сочеща към тунела. Този ред твърди едно нещо точно и няколко неща изобщо не. Той записва как тази машина ще препраща пакети към този префикс, нищо за това кои хостове съществуват там и нищо за това какво може да достигне акаунтът ви. Правилното четене отнема минута; четенето като опис отнема много повече време, за да се отучите.

Четете таблицата като локални инструкции

Маршрутът е инструкция за препращане, която локалното ядро пази: за този префикс използвайте този интерфейс и този следващ хоп. Дължината на префикса определя колко конкретна е инструкцията и печели най-дългото съвпадение. Нищо в това правило не споменава разрешения, изправност на услугата или отдалечена топология.

Правилата на политиката могат да се намесят, преди таблицата да бъде прочетена, затова един маршрут може да съществува и въпреки това да не е този, който използва даден пакет. Четете правилата заедно с таблицата, после питайте ядрото кой път би избрало за конкретна дестинация. Отговорът за един адрес струва повече от страница с префикси и е единственият отговор, който отразява маркировките, пространствата от имена и обвързванията на интерфейси, приложени от клиента.

Широкият префикс не е каталог

Префикс /16, насочен през тунела, не означава шестнадесет хиляди достъпни хоста, а маршрутът по подразбиране означава още по-малко. Сървърът решава кой отговаря, защитната стена решава какво е разрешено, а акаунтът решава какво е оторизирано.

Тясната таблица има обратния капан: липсващият префикс може да означава, че дестинацията е достъпна по друг път, или просто че изобщо не е маршрутизирана. Тези два случая изглеждат еднакво, докато не ги проверите. Сравнете таблицата с ресурса, който ви казаха да използвате, а не с очакванията си какво трябва да съдържа един VPN.

Откъде идват записите

Маршрутите идват поне от четири места: конфигурационния файл, сървъра, който изпраща маршрут при установяване на връзката, мрежов мениджър, който притежава интерфейса, и човек, който въвежда команда по време на инцидент. Всяко има различен живот и различен собственик.

Този, който е въведен по време на прекъсване, е този, който изчезва при рестартиране и не се появява в ничия документация. Маршрут, изпратен от сървъра, се променя, когато сървърът се промени, затова необяснен нов префикс често се появява след актуализация на шлюза, а не след промяна на клиента. Това ръководство ip-route документира синтаксиса на таблицата и полетата, ако трябва да прочетете флаговете.

Проверете маршрута спрямо договора за услугата

Полезното сравнение е между таблицата и услугата, която ви бяха обещали: име, обхват на адресите, порт и собственик. Запишете тези четири до префикса и пропуските стават видими.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Ако префиксът е налице, а услугата все още не работи, таблицата си е свършила работата и проблемът е другаде: разрешаване на имена, защитна стена от другата страна или акаунт без правилната група. Ако префиксът липсва, въпросът е кой е трябвало да го предостави, а не какво да се въведе. Всеки от двата отговора посочва екип, когото да попитате след това, и това е единственият полезен резултат от четенето на таблица на маршрутите. Запишете това име, преди да затворите терминала.

Записвайте какво е било преди и след всяка промяна, с датата и интерфейса. Таблицата на маршрутите е снимка на един момент на една машина и става доказателство само когато някой е записал кога е направена.