Què us diu una taula d’encaminament VPN i què no us pot dir

Us connecteu, executeu un llistat de rutes i veieu una subxarxa que no heu sentit mai apuntant al túnel. Aquesta línia afirma una cosa amb precisió i diverses coses de cap manera. Registra com aquesta màquina reenviarà paquets a aquest prefix, res sobre quins amfitrions hi existeixen i res sobre què pot arribar a fer el vostre compte. Llegir-la correctament triga un minut; llegir-la com un inventari triga molt més a desaprendre.

Llegiu la taula com a instruccions locals

Una ruta és una instrucció de reenviament que manté el nucli local: per a aquest prefix, feu servir aquesta interfície i aquest salt següent. La longitud del prefix decideix com n’és de concreta la instrucció, i guanya la coincidència més llarga. Res en aquesta regla no esmenta permisos, salut del servei ni topologia remota.

Les regles de política poden intervenir abans que es consulti la taula, i per això una ruta pot existir i tot i així no ser la que fa servir un paquet determinat. Llegiu les regles al costat de la taula i després pregunteu al nucli quin camí triaria per a una destinació concreta. La resposta per a una adreça val més que una pàgina de prefixos, i és l’única resposta que reflecteix les marques, els espais de noms i les vinculacions d’interfície que el client ha aplicat.

Un prefix ampli no és un catàleg

Un /16 encaminat pel túnel no vol dir setze mil amfitrions accessibles, i una ruta per defecte vol dir encara menys. El servidor decideix qui respon, el tallafoc decideix què es permet i el compte decideix què s’autoritza.

Una taula estreta té el parany oposat: un prefix absent pot voler dir que la destinació és accessible per un altre camí, o simplement que no està encaminada de cap manera. Aquests dos casos semblen idèntics fins que els proveu. Compareu la taula amb el recurs que us han dit que feu servir, no amb les vostres expectatives del que hauria de contenir una VPN.

D’on vénen les entrades

Les rutes arriben d’almenys quatre llocs: del fitxer de configuració, del servidor que empeny una ruta durant l’establiment de la connexió, d’un gestor de xarxa que posseeix la interfície i d’una persona que escriu una ordre durant un incident. Cadascun té una vida útil diferent i un propietari diferent.

La que s’escriu durant una interrupció és la que desapareix en reiniciar i no apareix a la documentació de ningú. Una ruta empenyuda pel servidor canvia quan canvia el servidor, i per això un prefix nou inexplicat sovint apareix després d’una actualització de la passarel·la i no després d’un canvi al client. El manual ip-route documenta la sintaxi de la taula i dels camps si us cal llegir els indicadors.

Comproveu la ruta contra el contracte del servei

La comparació útil és entre la taula i el servei que us van prometre: nom, abast d’adreces, port i propietari. Escriviu aquests quatre al costat del prefix i les llacunes es fan visibles.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Si el prefix hi és i el servei continua fallant, la taula ha fet la seva feina i el problema és en un altre lloc: resolució de noms, un tallafoc a l’altra banda o un compte sense el grup correcte. Si el prefix falta, la pregunta és qui l’hauria d’haver subministrat, no què cal escriure. Qualsevol de les dues respostes anomena un equip a qui preguntar després, i és l’única sortida útil de llegir una taula de rutes. Escriviu aquest nom abans de tancar el terminal.

Registreu el abans i el després de qualsevol canvi, amb la data i la interfície. Una taula de rutes és una instantània d’un moment en una màquina, i només es converteix en prova quan algú ha escrit quan es va prendre.