Reviseu l’encaminament per polítiques de Linux abans d’editar la ruta per defecte

Un amfitrió VPN respon en una interfície i es nega a tornar les respostes pel túnel, i la ruta per defecte sembla correcta. Aquí és on la taula principal deixa de ser tota la història. Linux pot seleccionar una taula d’encaminament per paquet mitjançant regles de política, i és possible que la VPN n’hagi instal·lat una. Llegiu les regles abans de tocar la ruta per defecte.

L’ordre importa: primer les regles, després la taula que selecciona cada regla.

Llegiu les regles per ordre de prioritat

Executeu ip rule show i llegiu de dalt a baix. El número de prioritat controla l’ordre d’avaluació, i un número més baix es comprova abans. La regla per defecte a 32766 sol ser l’última que importa. Si la llista és llarga, deseu-la en un fitxer abans de canviar res.

Per a cada regla, anoteu la prioritat, la coincidència (origen, marca, interfície o destinació) i la taula a què fa referència. Una regla sense una taula utilitzable és un carreró sense sortida, no una ruta.

Feu el mateix per a IPv6 amb ip -6 rule show. Una política que només existeix a la família IPv4 deixa l’altra família a la taula principal.

Llegiu la taula que selecciona cada regla

Utilitzeu ip route show table <name or number> per a cada taula referenciada. Compareu-ne les rutes amb la interfície i el salt següent que espereu. Una taula buida o incompleta explica una fallada que la taula principal no pot.

La taula principal pot continuar tenint la ruta per defecte, i això està bé. Si una regla envia el vostre flux primer a la taula 51820, la ruta per defecte principal és irrellevant per a aquest paquet.

Busqueu el nom de la taula a /etc/iproute2/rt_tables si el número no us és familiar. Aquesta consulta triga un segon i evita un desviament llarg.

Esbrineu qui va instal·lar la regla

NetworkManager, wg-quick i altres scripts poden instal·lar regles dinàmicament. Esborrar-ne una en temps d’execució es pot desfer a la propera reconnexió. Comproveu la configuració del gestor abans d’afegir una regla concurrent.

wg-quick, per exemple, afegeix una regla marcada i una taula per a les adreces permeses del túnel. Aquesta regla és la raó per la qual el trànsit a aquestes adreces evita la ruta per defecte principal. Si la suprimiu sense canviar la configuració, la propera pujada la restaurarà.

Preserveu la ruta exterior del punt final i l’accés de gestió mentre reviseu. No buideu totes les regles en una passarel·la remota activa per simplificar la sortida. Una sessió de gestió que sobreviu al canvi forma part de la prova.

Proveu el context d’origen que importa

Un ip route get genèric respon una pregunta diferent de la del flux de l’aplicació. Afegiu l’adreça d’origen, i la marca si la VPN n’utilitza una, per veure el camí que fa el paquet real. Proveu una destinació inclosa i una d’exclosa amb el mateix context d’origen. Després repetiu-ho per a IPv6 si l’amfitrió fa doble pila.

Després d’una correcció aprovada, torneu a executar les mateixes dues consultes i compareu-les. Manteniu un registre de la regla prevista, la taula i quant temps sobreviu la regla a un reinici. Aquest registre és el que fa el proper reinici del servei explicable en lloc de misteriós. La pàgina del manual d’ip-rule documenta els selectors de coincidència i la sintaxi de les taules.