Beth mae llwybro polisi yn ei newid i draffig VPN, a beth nad yw'n ei newid

Mae llwybro polisi yn ateb cwestiwn gwahanol i'r un y mae'r rhan fwyaf o nodiadau datrys problemau yn ei ofyn. Mae'r prif dabl yn dweud i ble mae cyrchfan yn mynd; mae rheolau polisi'n dweud pa dabl a ymgynghorir o gwbl, a gallant benderfynu hynny o gyfeiriad y ffynhonnell, marc pecyn, neu'r rhyngwyneb y cyrhaeddodd pecyn arno. Pan fydd twnnel yn ymddwyn yn anghyson, y set rheolau'n aml yw'r rheswm ac nid y tabl llwybro'n aml.

Mae rheolau'n dewis y tabl, yna mae'r tabl yn dewis y llwybr

Mae gan bob rheol flaenoriaeth, amod cyfateb a thabl targed. Mae'r gnewyllyn yn cerdded y rheolau yn nhrefn blaenoriaeth ac yn stopio ar y cyfatebiad cyntaf, yna'n gwneud chwiliad arferol o'r rhagddodiad hiraf yn y tabl hwnnw. Mae rheol sy'n pwyntio at dabl gwag yn disgyn i'r hyn a ddewisir gan y rheol nesaf, a dyna sut y gall rheol a ysgrifennwyd yn ofalus ymddangos fel pe na bai'n gwneud dim.

Dyna pam nad yw dympio'r prif dabl yn aml yn esbonio cleient VPN sy'n gweithio. Mae cleientiaid fel arfer yn mewnosod rheolau ar rifau blaenoriaeth isel, ymhell cyn rheol ddiofyn y prif dabl, felly ni fydd y pecyn byth yn cyrraedd y llwybr yr oeddech yn syllu arno. Nid yw gostwng metrig yn y prif dabl yn newid dim i draffig a oedd eisoes wedi'i ddargyfeirio.

Gall rheol hefyd wneud rhagddodiad yn dwll du neu'n anghyraeddadwy yn fwriadol. Mae rhai cleientiaid yn ychwanegu rheol o'r fath fel switsh diogelwch, ac yna mae'r gollwng yn edrych fel twnnel wedi torri yn hytrach nag un wedi'i ffurfweddu.

Darllenwch y set rheolau fel dilyniant, nid fel rhestr

Argraffwch y rheolau gyda'u blaenoriaethau a'r tablau y maent yn cyfeirio atynt, yna argraffwch bob tabl sy'n cario llwybr diofyn neu lwybr twnnel. Y drefn yw'r rhan sy'n bwysig, a hi yw'r rhan y mae sgrinlun fel arfer yn ei hepgor:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Y ddwy orchymyn olaf yw'r rhai sy'n troi theori yn arsylwad, oherwydd maent yn gofyn beth fyddai'r gnewyllyn yn ei wneud i'r ffynhonnell honno a'r marc hwnnw. Os yw'r ateb yn newid pan fydd y marc yn newid, mae rheol sy'n seiliedig ar farc ar waith ac mae unrhyw brawf sy'n hepgor y marc yn profi pecyn gwahanol. Mae'r cysylltiad allanol yn haeddu rheol ei hun. Rhaid i dwnnel sy'n llwybro'r holl draffig drwyddo ei hun eithrio'r cyfeiriad pen y mae'n cysylltu ag ef, neu bydd y pecynnau wedi'u hamgryptio'n cael eu hanfon yn ôl i'r twnnel y maent newydd ei adael. Mae'r rhan fwyaf o gleientiaid yn mewnosod yr eithriad hwnnw'n awtomatig, a set rheolau wedi'i golygu â llaw yw'r lle mae'n mynd ar goll.

Marciau a socedi: dwy ffordd y mae cleientiaid yn rhannu traffig

Mae rhai cleientiaid yn marcio pecynnau yn y mur tanio ac yn ychwanegu rheol sy'n cyfateb i'r marc. Mae eraill yn defnyddio llwybro ar lefel soced, gan osod llwybr ar y soced cyn iddo gysylltu. Mae'r cyntaf i'w weld yn ip rule; nid yw'r ail, ac ni fydd yn ymddangos mewn chwiliad cyffredinol.

Os yw rhaglen brawf yn ymddwyn yn wahanol i'r rhaglen y mae i fod i'w chynrychioli, gwiriwch a yw'r rhaglen yn gosod marc neu'n rhwymo i ddyfais. Nid yw'r gwahaniaeth hwnnw'n ddirgelwch ar ôl enwi'r mecanwaith, ac mae'n esbonio pam y gall curl o gragen a thab porwr gymryd llwybrau gwahanol ar yr un peiriant. Mae'r ddwy dechneg yn llwybro polisi yn yr ystyr eang: maent yn dewis llwybr gan ddefnyddio rhywbeth nad yw'r gyrchfan. Nid yw'r naill na'r llall yn awdurdodi'r traffig, ac nid yw'r naill na'r llall yn cymryd lle rheolau'r mur tanio na'r manylion mewngofnodi y mae'r cymheiriaid yn eu disgwyl.

Olrheiniwch berchnogaeth cyn ychwanegu rheol arall

Mae rhywbeth yn gosod y rheolau. Gall cleient VPN, rheolwr rhwydwaith a sgript a ysgrifennwyd â llaw bob un ychwanegu rheolau wrth gychwyn, a gall rhesymeg ailgysylltu adael y set flaenorol ar ôl. Bydd dwy reol hen o broffil cynharach yn parhau i lywio traffig ymhell ar ôl i'r proffil gael ei ddileu.

Darganfyddwch pa broses sy'n berchen ar y rheol drwy ei blaenoriaeth a'i siâp, a gwiriwch a yw'r perchennog hwnnw'n ailysgrifennu'r set ar bob cysylltiad. Os yw, mae rheol â llaw a ychwanegwyd heddiw yn diflannu yfory, ac mae'r atgyweiriad yn perthyn i ffurfweddiad y cleient yn hytrach nag i ffeil hanes cragen. Mae clirio'r set rheolau gyfan i brofi yn llwybr byr deniadol â chost ragweladwy: mae hefyd yn tynnu'r rheolau sydd eu hangen ar y cleient i gadw ei dwnnel ei hun yn gweithio. Dilëwch un rheol ar y tro, neu profwch ar beiriant y gallwch ei ailgychwyn.

Profwch y cwmpas gyda dau lif, nid un

Dim ond llif y dylid effeithio arno a llif na ddylid ei effeithio sy'n gwirio cywiriad. Dewiswch gyrchfan y mae'r polisi'n ei llwybro i'r twnnel, ac un y mae'n rhaid ei gadael y tu allan, yna cymharwch y chwiliadau a'r dal ar gyfer y ddau:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Pan fydd y ddau chwiliad yn dychwelyd rhyngwynebau gwahanol, mae'r rheol yn gwneud rhywbeth. Pan fyddant yn dychwelyd yr un rhyngwyneb, mae'r rheol yn cyfateb yn ehangach na'r bwriad, a dyna'r methiant sy'n anfon isrwydwaith gyfan yn dawel drwy dwnnel a fwriadwyd ar gyfer un rhaglen.

Cofnodwch flaenoriaethau'r rheolau a'r gwasanaeth sy'n berchen arnynt yn y tocyn, ynghyd â'r ddau gyfeiriad prawf. Yna mae gan y person nesaf bâr y gellir ei atgynhyrchu yn lle disgrifiad o symptom, a gall ddweud mewn munud a yw llwybro polisi yn dal ar waith.