Co vám tabulka tras VPN prozradí a co ne

Připojíte se, spustíte výpis tras a uvidíte podsíť, o které jste nikdy neslyšeli, jak míří do tunelu. Ten řádek říká jednu věc přesně a několik věcí vůbec. Zaznamenává, jak bude tento stroj přeposílat pakety na daný prefix, nic o tom, které hostitele tam existují, a nic o tom, čeho může dosáhnout váš účet. Přečíst ho správně trvá minutu; číst ho jako soupis trvá mnohem déle, než se to odnaučíte.

Čtěte tabulku jako místní instrukce

Trasa je instrukce k přeposílání, kterou drží místní jádro: pro tento prefix použijte toto rozhraní a tento další skok. Délka prefixu určuje, jak konkrétní instrukce je, a vyhrává nejdelší shoda. Nic v tom pravidle nezmiňuje oprávnění, stav služby ani vzdálenou topologii.

Pravidla zásad mohou zasáhnout dřív, než se tabulka použije, a proto trasa může existovat a přesto nebýt tou, kterou daný paket použije. Čtěte pravidla vedle tabulky a pak se jádra zeptejte, kterou cestu by zvolilo pro konkrétní cíl. Odpověď pro jednu adresu má větší cenu než stránka prefixů a je jedinou odpovědí, která odráží značky, jmenné prostory a vazby rozhraní, jež klient použil.

Široký prefix není katalog

Prefix /16 směrovaný tunelem neznamená šestnáct tisíc dostupných hostitelů a výchozí trasa znamená ještě méně. Server rozhoduje, kdo odpoví, firewall rozhoduje, co je dovoleno, a účet rozhoduje, co je oprávněno.

Úzká tabulka má opačnou past: chybějící prefix může znamenat, že cíl je dostupný jinou cestou, nebo prostě že není vůbec směrován. Tyto dva případy vypadají stejně, dokud je neotestujete. Porovnávejte tabulku se zdrojem, který vám bylo řečeno použít, ne se svým očekáváním, co by VPN měla obsahovat.

Odkud záznamy pocházejí

Trasy přicházejí nejméně ze čtyř míst: z konfiguračního souboru, od serveru, který při navazování spojení protlačí trasu, od správce sítě, který vlastní rozhraní, a od člověka, který během incidentu napíše příkaz. Každý má jinou životnost a jiného vlastníka.

Ta napsaná během výpadku je ta, která zmizí po restartu a neobjeví se v ničí dokumentaci. Trasa protlačená serverem se mění, když se změní server, a proto se nevysvětlený nový prefix často objeví po aktualizaci brány, ne po změně klienta. Tento manuál ip-route dokumentuje syntaxi tabulky a polí, pokud potřebujete číst příznaky.

Ověřte trasu proti smlouvě o službě

Užitečné srovnání je mezi tabulkou a službou, kterou vám slíbili: název, rozsah adres, port a vlastník. Napište ty čtyři vedle prefixu a mezery budou vidět.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Pokud prefix existuje a služba stále selhává, tabulka udělala svou práci a problém je jinde: překlad jmen, firewall na druhé straně nebo účet bez správné skupiny. Pokud prefix chybí, otázka je, kdo ho měl dodat, ne co napsat. Každá z těch dvou odpovědí pojmenuje tým, na který se obrátit dál, a to je jediný užitečný výstup čtení tabulky tras. Napište to jméno, než zavřete terminál.

Zaznamenejte stav před a po každé změně, s datem a rozhraním. Tabulka tras je snímek jednoho okamžiku na jednom stroji a důkazem se stane teprve tehdy, když někdo zapíše, kdy byla pořízena.