Cyfeiriad peer PPP neu bwynt terfyn VPN: pa un sy'n mynd yn via

Mae un llinell ar ryngwyneb PPP yn setlo'r rhan fwyaf o'r ddadl llwybreiddio ar flwch VPN: y cyfeiriad mewnol a'r peer a argraffir wrth ei ymyl. Darllenwch y pâr hwnnw fel is-rwydwaith bach a byddwch yn chwilio am giât nad yw'n bodoli. Darllenwch ef fel dau ben un cyswllt ac mae'r naid nesaf yn dod yn amlwg. Mae'r gymhariaeth yma rhwng y ddau ddarlleniad hynny, oherwydd bydd pob tabl a adeiladwch wedyn yn etifeddu'r un a ddewiswyd gennych. Nid yw'r naill na'r llall yn penderfynu dim am bwynt terfyn allanol y VPN.

Dau ddarlleniad o un llinell ryngwyneb

Cymerwch sesiwn lle mae'r rhyngwyneb yn adrodd inet 10.64.3.9 peer 10.64.3.1/32. Mae darlleniad yr is-rwydwaith yn trin 10.64.3.9 fel gwesteiwr unig ar ynys /32 ac yna'n chwilio am lwybrydd i gyrraedd unrhyw beth y tu hwnt iddi. Gan mai'r peer yw'r unig gyfeiriad arall ar y llinell, mae'r darlleniad hwnnw'n gorffen drwy gynnig 10.64.3.9 ei hun fel giât, sy'n gylchol.

Y darlleniad pwynt terfyn yw'r un a ddogfennwyd. Ar ryngwyneb pwynt-i-bwynt, mae peer yn enwi pen pellaf yr un cyswllt hwnnw, felly 10.64.3.1 yw'r naid nesaf y gellir ei defnyddio a dim ond cyfeiriad ffynhonnell yw 10.64.3.9 bob amser.

Mae'r gwahaniaeth hwnnw'n llywodraethu'r hyn a gaiff ymddangos yn via. Mae ysgrifennu'r cyfeiriad lleol yno yn cynhyrchu llwybr na all y cnewyllyn ei ddatrys i gymydog, felly mae'r cofnod naill ai'n methu'r dilysu neu'n llyncu traffig tra'n edrych yn berffaith iach mewn rhestr. Mae'r peer yn gweithio oherwydd ei fod yn gyrchfan go iawn ar y cyswllt. Mae'r ddau ddarlleniad yn cytuno ar bwynt terfyn allanol y VPN, sy'n hunaniaeth hollol ar wahân: cyrhaeddir ef drwy'r is-haen, nid drwy'r twnnel y mae'n ei derfynu.

Yr hyn y mae'r sesiwn eisoes wedi'i osod

Cyn ysgrifennu unrhyw dabl eich hun, argraffwch yr hyn a ddaeth gyda'r cyswllt. Mae integreiddiad PPP a gefnogir fel arfer yn gosod llwybr dyfais a llwybr peer wrth osod y sesiwn, ac mae'r ddau gofnod hynny eisoes yn amgodio'r darlleniad cywir.

ip -4 addr show dev ppp0
ip route show dev ppp0
ip route show table main | head -n 5

Nid yw llwybr dyfais fel 10.64.3.1 dev ppp0 proto kernel scope link src 10.64.3.9 yn cario unrhyw giât oherwydd y rhyngwyneb ei hun yw'r llwybr. Mae llwybr sy'n enwi'r peer gyda via yn wrthrych gwahanol ag oes wahanol, ac mae'n diflannu pan fydd y sesiwn yn cwympo. Copïo'r naill ffurf neu'r llall i dabl parhaus heb wirio sut y caiff ei ailosod yw'r rheswm arferol pam y bydd twnnel sy'n gweithio yn colli ei lwybr ar ôl ailgysylltu.

Cymharwch y ddwy restr yn hytrach na dibynnu ar y cof. Os yw'r llwybr peer yn bodoli yn main ond bod eich tabl ychwanegol yn wag, rydych wedi dysgu rhywbeth na ddywedodd y llinell gyfeiriad wrthych erioed.

Mae rheol a thabl yn benderfyniadau ar wahân

Mae dewis tabl a'i lenwi yn gamau annibynnol, ac mae'r gymhariaeth yn cyfrif yma oherwydd bod y ddau'n cael eu cymysgu'n aml wrth ddadebru. Nid yw rheol sy'n anfon traffig wedi'i farcio i dabl 100 yn gwneud dim os nad oes gan dabl 100 lwybr cyfatebol, ac mae tabl wedi'i lenwi'n dda yn un na ellir ei gyrraedd os nad oes unrhyw reol yn cyfeirio ato.

Nid yw hanner llwybr diofyn yn llwybr diofyn. Mae un 0.0.0.0/1 yn cwmpasu hanner isaf gofod IPv4, felly mae angen yr 128.0.0.0/1 cyfatebol hefyd ar bolisi sy'n bwriadu dal popeth, neu default go iawn. Darllen ffurfweddiad sy'n gweithio a chopïo un o'r ddau hanner yw sut y mae pobl yn cael dolen lwybreiddio nad yw'n torri ond ar gyrychiadau penodol.

Gadewch eithriadau bwriadol ar gyfer y cyfeiriadau sy'n gorfod aros ar y LAN, a phenderfynwch beth sy'n digwydd pan nad yw'r chwiliad yn dod o hyd i ddim yn y tabl a ddewiswyd. Mae llwybr wrth gefn penodol yn haws i resymu yn ei gylch na thabl gwag, sy'n dychwelyd canlyniad anghyrraeddadwy ac yn gwneud i'r rhaglen edrych yn chwaledig yn hytrach nag wedi'i chamlwybreiddio.

Gofynnwch i'r chwiliad y cwestiwn y mae eich rhaglen yn ei ofyn

Mae ip route get yn datrys llwybr; mae ip route show yn rhestru cofnodion stôr, a gall y ddau anghytuno heb fod y naill na'r llall yn anghywir. Cynhwyswch gyd-destun y ffynhonnell, oherwydd dim ond pan fydd y chwiliad yn cario ffynhonnell y bydd rheolau sy'n seiliedig ar ffynhonnell yn cyfateb.

ip route get 198.51.100.23 from 10.64.3.9
ip route get 198.51.100.23 from 10.64.3.9 iif ppp0
ip -4 rule show

Mae'r gorchymyn cyntaf yn gofyn y cwestiwn o'r gwesteiwr. Mae'r ail yn ychwanegu rhyngwyneb mynediad, sy'n agosach at yr hyn a brofir gan draffig a anfonir ymlaen, ac yn aml bydd yr ateb yn cyfeirio at dabl gwahanol. Nid yw'r naill gyrchfan na'r llall yn wasanaeth prawf byw; cyfeiriad dogfennu yw 198.51.100.23, felly rhowch westai y cewch ei brofi yn ei le.

Nid yw hyd yn oed chwiliad cywir yn profi ond bod llwybr wedi'i ddewis. Nid yw'n dweud dim am ba un a yw'r ochr arall yn derbyn y traffig neu a all yr ateb ddychwelyd drwy'r un rhesymu.

Lle mae'r gymhariaeth yn troi

Nid yw traffig gwesteiwr a thraffig a anfonir ymlaen yn cymryd gwahanol chwiliadau yn unig; maent yn cyfarfod ffiltrau gwahanol ar y ffordd yn ôl. Mae Linux yn cymhwyso dilysu llwybr gwrthdro gan ddefnyddio'r mwyaf llym o'r gosodiadau pob-rhyngwyneb a'r rhyngwyneb derbyn, felly efallai na fydd newid gwerth un rhyngwyneb yn cael unrhyw effaith weladwy. Mae llwybreiddio'n seiliedig ar farc yn ychwanegu'r berthynas src_valid_mark, lle mae'n rhaid i'r marc gyfateb er mwyn i ffynhonnell gael ei hystyried yn ddilys.

Os yw atebion yn diflannu tra bod y llwybreiddio allan yn edrych yn iawn, darllenwch y gwerthoedd effeithiol cyn cyffwrdd â nhw, a'u newid dim ond gyda rheswm polisi a nodwyd.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.ppp0.rp_filter
sysctl net.ipv4.conf.all.src_valid_mark

Dewiswch rhwng y ddau ddyluniad ar sail tystiolaeth: os yw'r rhaglen yn rhwymo i gyfeiriad PPP, mae rheol ffynhonnell ynghyd â thabl sy'n dal y llwybr peer yn ddigon. Os yw'r blwch yn anfon ymlaen ar gyfer LAN y tu ôl iddo, mae angen i chi hefyd fod cyd-destun mynediad a'r llwybr dychwelyd yn cytuno. Pan nad ydynt yn cytuno, cywirwch berchnogaeth y llwybr yn hytrach na llacio'r dilysu ar gyfer y peiriant cyfan.