Mae ap wedi’i rwymo i gyfeiriad y VPN yn dal i ddefnyddio’r llwybr anghywir

Mae ap yn rhwymo i gyfeiriad y VPN, ac mae’r cysylltiad yn dal i adael trwy’r llwybr diofyn arferol. Ni fethodd dim yn y rhwymiad; gwnaeth yn union yr hyn y mae rhwymiad yn ei wneud. Mae rhwymo soced i gyfeiriad lleol yn dewis y cyfeiriad ffynhonnell y mae’r cnewyllyn yn ei roi yn y pennawd. Nid yw’n gosod llwybr, ac nid yw’n creu rheol polisi sy’n anfon pecynnau sy’n cario’r ffynhonnell honno i diwnnel penodol.

Gweddill y llawlyfr hwn yw’r drefn wirio rwy’n ei defnyddio, gyda’r gorchymyn sy’n cynhyrchu pob arsylwad.

Beth mae rhwymiad yn ei benderfynu mewn gwirionedd

Mae rhwymiad yn neilltuo cyfeiriad lleol i’r soced. Yna mae’r cnewyllyn yn rhedeg yr un chwiliad llwybr ag y byddai wedi’i redeg fel arall, oni bai bod rheol polisi yn newid pa dabl mae’r chwiliad hwnnw’n ei ddarllen.

Dyna pam y gall pecyn adael gyda chyfeiriad ffynhonnell VPN ar ryngwyneb corfforol. Ar yr ochr draw mae’n cyrraedd o ystod breifat na wnaeth y rhwydwaith ei disgwyl ar y llwybr hwnnw, nid oes gan y traffig dychwelyd lwybr yn ôl, ac mae’r cysylltiad yn hongian neu’n ailosod.

Mae cyfeirlyfr socedi IP Linux yn dogfennu semanteg y rhwymiad. Mae hanner y llwybro yn byw yn ip-rule ac ip-route, a manpages ar wahân ydyn nhw am reswm.

Cadarnhewch fod y cyfeiriad yn perthyn i’r gofod enw hwn

Rhaid i gyfeiriad y gallwch rwymo iddo fodoli ar ryngwyneb y tu mewn i ofod enw rhwydwaith yr ap. Nid oes modd rhwymo i gyfeiriad cymar, cyfeiriad porth, na chyfeiriad sy’n bodoli mewn gofod enw arall yn unig, ac mae’r alwad yn methu gyda EADDRNOTAVAIL.

ip -br addr show
ip netns identify <pid>
ss -tanp | grep <port>

Rhedwch y tri hyn yn yr un cyd-destun â’r ap: yr un gofod enw, a’r un defnyddiwr os gallwch ei gael. Nid yw diagram net30 hen yn dystiolaeth o ba gyfeiriad a roddodd eich topoleg gyfredol i’r cleient. Darllenwch y rhyngwyneb sydd mewn gwirionedd i fyny.

Darllenwch y chwiliad ar gyfer y ffynhonnell a’r gyrchfan honno

Mae un gorchymyn yn ateb y cwestiwn na atebodd y rhwymiad:

ip route get 203.0.113.10 from 10.8.0.2
ip rule show

Mae’r llinell gyntaf yn argraffu’r llwybr y byddai pecyn o’r ffynhonnell honno i’r gyrchfan honno yn ei gymryd, gan gynnwys y rhyngwyneb allan a’r ffynhonnell a ffefrir. Os yw’n enwi’r rhyngwyneb corfforol, mae’r rhwymiad a’r llwybr yn anghytuno, a bydd y pecyn yn gadael gyda ffynhonnell na all y llwybr ddychwelyd ati.

Yna mae ip rule show yn dweud a fyddai unrhyw reol wedi dewis tabl arall. Mae blaenoriaethau yn bwysig yma, oherwydd y rheol gyntaf sy’n cyfateb sy’n ennill, ac mae rheol sy’n dal popeth uwchben eich rheol chi yn gwneud eich rheol yn anweladwy.

Gosodwch reol polisi dim ond os mai dyna’r dyluniad

Mae llwybro yn seiliedig ar ffynhonnell yn ddyluniad bwriadol, nid yn atgyweiriad ar gyfer un ap. Os yw perchennog y polisi am i draffig o is-rwydwaith y tiwnnel ddefnyddio’r tiwnnel, mae’r rheol yn perthyn i’w ffurfweddiad ef yn hytrach nag i orchymyn un-tro ar eich gliniadur.

Siâp gweithredol yw tabl pwrpasol gyda llwybr diofyn trwy’r tiwnnel, ynghyd â rheol sy’n anfon ystod ffynhonnell y VPN i’r tabl hwnnw. Ychwanegwch yr eithriadau y mae’r dyluniad yn eu hangen, oherwydd bydd tabl sy’n cynnwys dim ond diofyn tiwnnel yn dal cyrchfannau sydd i fod i aros yn lleol neu’n hygyrch dros y llwybr corfforol.

ip route add default dev tun0 table 100
ip rule add from 10.8.0.2 table 100 priority 100
ip route get 203.0.113.10 from 10.8.0.2

Dadwnewch gyda ip rule del ac ip route flush table 100. Mae unrhyw beth a ychwanegir felly yn diflannu wrth ailgychwyn oni bai bod rheolwr yn ei ysgrifennu, sy’n briodwedd diogelwch ac yn rheswm dros beidio â chadw’r unig gopi yn hanes eich shell.

Gwiriwch gyda thri arsylwad

Cofnodwch y ffynhonnell y gofynnodd yr ap amdani, y llwybr a ddewisodd y chwiliad, a’r ffynhonnell a welodd y gweinydd mewn gwirionedd.

Gall y tri hyn anghytuno, ac mae pob anghytundeb yn cyfeirio i le gwahanol. Mae cipiad ar ryngwyneb y tiwnnel yn profi bod y pecyn wedi gadael gyda’r ffynhonnell gywir. Mae cipiad ar y rhyngwyneb corfforol yn profi iddo adael y ffordd anghywir. Golygfa ochr y gweinydd yw’r unig un sy’n profi’r llwybr o’r dechrau i’r diwedd.

Os yw’r ap yn cynnig opsiwn rhwymo-i-ddyfais neu fodd llwybro fesul ap, triniwch ef fel mecanwaith gwahanol â chyfyngiadau gwahanol. Nid yw gosodiadau tebyg i’w gweld i gyd yn arwain at yr un penderfyniad cnewyllyn.