Per què una ruta d’amfitrió /32 manté abastable l’extrem del VPN

Obriu la taula d’encaminament després de connectar-vos i trobeu una sola adreça encaminada pel túnel mentre la subxarxa del voltant continua anant a la passarel·la local. Aquesta entrada és una ruta d’amfitrió: una adreça, coincident amb un prefix de tot uns. Importa perquè les decisions d’encaminament fan servir el prefix coincident més llarg, així que una /32 pot prevaler sobre una /24 o una ruta per defecte sense canviar-ne cap de les dues. Si això és una excepció acurada o una caiguda futura depèn de quina adreça anomena i de qui la manté.

Una adreça, una entrada a la taula

Una ruta d’amfitrió IPv4 porta un prefix /32 i una ruta d’amfitrió IPv6 porta /128, cosa que vol dir que l’entrada pot coincidir exactament amb una adreça de destinació. Res més de la taula no es mou: la subxarxa que la cobreix i la ruta per defecte es queden on eren. L’entrada estreta guanya per a aquella adreça perquè el seu prefix és més llarg, no perquè s’hagi afegit més tard.

Aquesta propietat fa d’una ruta d’amfitrió una bona excepció i un mal costum. Dues entrades /32 que anomenen la porta d’entrada d’un servei no cobreixen la seva segona adreça, la seva adreça IPv6 ni l’adreça a la qual es trasllada el mes que ve. Una taula plena d’entrades d’una sola adreça sense explicar normalment vol dir que algú anava pegant pedaços al voltant d’una decisió de subxarxa en lloc de prendre-la. Llegiu primer la longitud del prefix i després pregunteu què ha de protegir l’entrada.

Llegiu l’entrada des del client cap enfora

Comenceu per la màquina que té el problema, perquè la mateixa adreça es pot encaminar de manera diferent en un portàtil i en la passarel·la que té davant. Pregunteu al nucli quin camí triaria per a l’adreça exacta que fa servir l’aplicació, en lloc de llegir la taula des de dalt. La resposta inclou la interfície i el salt següent, que junts són la decisió.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Repetiu la consulta per a la família d’adreces que l’aplicació tria realment, ja que un client pot preferir IPv6 i saltar-se en silenci una excepció IPv4. Compareu el resultat abans i després que pugi el túnel, i guardeu totes dues sortides. Aquesta comparació mostra si el client va afegir l’entrada en connectar-se o si ja hi era.

Una entrada persistent i una entrada d’execució fallen de manera diferent. La d’execució desapareix amb la sessió, mentre que la persistent sobreviu a un reinici i continua enviant trànsit a una passarel·la que ja no existeix.

L’excepció de l’extrem i el parany de la recurssió

Els clients de VPN solen instal·lar una ruta d’amfitrió a l’adreça exterior del servidor a través de la passarel·la original abans de redirigir la ruta per defecte. Sense aquesta entrada, els paquets xifrats s’enviarien dins del túnel que intenten construir, i la connexió faria bucles fins a esgotar-se.

El parany apareix quan les subxarxes acceptades del túnel inclouen per casualitat aquella adreça de l’extrem, o quan un segon perfil afegeix una ruta més àmplia després. L’entrada de l’extrem perd llavors davant d’un prefix més llarg i la sessió s’enfonsa tan bon punt comença a passar trànsit. Escriure l’adreça de l’extrem al costat de les subxarxes acceptades és la manera més barata d’adonar-se del xoc abans que els usuaris. També explica per què el mateix perfil funciona des d’una xarxa i falla des d’una altra.

Verifiqueu el camí que l’aplicació fa servir de veritat

Un ping correcte al nom de l’amfitrió és una prova feble quan l’aplicació es connecta a una adreça o una família diferents. Verifiqueu la combinació exacta d’adreça, família, port i interfície, des de la màquina que executa el client.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Si el camí és incorrecte, decidiu si el requisit és una xarxa o una adreça abans d’editar res. Un requisit d’una sola adreça justifica una ruta d’amfitrió amb un comentari i un responsable; un servei amb adreces rotatives necessita encaminament basat en domini o una decisió honesta de subxarxa.

Elimineu les entrades que ja no corresponen a una destinació real i anoteu les que conserveu. Una /32 sense explicar és indistingible d’un error tres mesos després, i la persona següent l’esborrarà sense saber de què depenia.