Šta vam govori VPN tabela ruta i šta ne može

Povežete se, pokrenete listu ruta i vidite podmrežu za koju nikad niste čuli kako pokazuje na tunel. Taj red precizno tvrdi jednu stvar, a nekoliko stvari nikako. Bilježi kako će ova mašina prosljeđivati pakete tom prefiksu, ništa o tome koji hostovi tamo postoje i ništa o tome do čega vaš račun može doći. Ispravno čitanje traje minut; čitanje kao inventara traje mnogo duže dok se ne odučite.

Čitajte tabelu kao lokalne instrukcije

Ruta je instrukcija za prosljeđivanje koju drži lokalno jezgro: za ovaj prefiks koristite ovaj interfejs i ovaj sljedeći skok. Dužina prefiksa odlučuje koliko je instrukcija konkretna, a najduže podudaranje pobjeđuje. Ništa u tom pravilu ne spominje dozvole, zdravlje servisa ni udaljenu topologiju.

Pravila politike mogu intervenisati prije nego što se tabela pregleda, zbog čega ruta može postojati, a ipak ne biti ona koju koristi dati paket. Čitajte pravila uz tabelu, pa pitajte jezgro koji bi put odabralo za konkretno odredište. Odgovor za jednu adresu vrijedi više od stranice prefiksa i jedini je odgovor koji odražava oznake, prostore imena i vezivanja interfejsa koje je klijent primijenio.

Širok prefiks nije katalog

Prefiks /16 rutiran kroz tunel ne znači šesnaest hiljada dostupnih hostova, a podrazumijevana ruta znači još manje. Server odlučuje ko odgovara, firewall odlučuje šta je dozvoljeno, a račun odlučuje šta je ovlašteno.

Uska tabela ima obrnutu zamku: prefiks koji nedostaje može značiti da je odredište dostupno drugim putem ili jednostavno da uopšte nije rutirano. Ta dva slučaja izgledaju isto dok ih ne provjerite. Uporedite tabelu sa resursom koji vam je rečeno da koristite, a ne sa svojim očekivanjima šta bi VPN trebalo da sadrži.

Odakle dolaze unosi

Rute dolaze s najmanje četiri mjesta: iz konfiguracijske datoteke, od servera koji gura rutu tokom uspostavljanja veze, od mrežnog menadžera koji posjeduje interfejs i od osobe koja kuca komandu tokom incidenta. Svako ima drugačiji životni vijek i drugačijeg vlasnika.

Ona koju su otkucali tokom prekida je ona koja nestaje pri ponovnom pokretanju i ne pojavljuje se ni u čijoj dokumentaciji. Ruta koju gura server mijenja se kada se server promijeni, zbog čega se neobjašnjeni novi prefiks često pojavljuje nakon ažuriranja gatewaya, a ne nakon promjene klijenta. Ovaj ip-route priručnik dokumentuje sintaksu tabele i polja ako trebate čitati zastavice.

Provjerite rutu prema ugovoru o servisu

Korisno poređenje je između tabele i servisa koji vam je obećan: naziv, opseg adresa, port i vlasnik. Zapišite ta četiri pored prefiksa i praznine postaju vidljive.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Ako prefiks postoji, a servis i dalje ne radi, tabela je odradila svoj posao i problem je drugdje: razrješavanje imena, firewall na drugoj strani ili račun bez prave grupe. Ako prefiks nedostaje, pitanje je ko ga je trebao dostaviti, a ne šta otkucati. Svaki od dva odgovora imenuje tim koji sljedeći pitati, i to je jedini koristan rezultat čitanja tabele ruta. Zapišite to ime prije nego što zatvorite terminal.

Zabilježite prije i poslije svake promjene, s datumom i interfejsom. Tabela ruta je snimak jednog trenutka na jednoj mašini i postaje dokaz tek kada neko zapiše kada je napravljena.