Tabled llwybro yn erbyn yr edrychiad gwirioneddol: i ble mae traffig VPN yn mynd

Dympio tabled llwybro yw'r diagnostig lleiaf defnyddiol wrth ddatrys problemau VPN a'r un a gaiff ei gludo amlaf. Mae pedwar deg llinell o ragddodiadau yn dweud wrthych beth y gallai'r peiriant ei wneud, nid beth a wnaeth i'r cais a fethodd. Y mecanwaith rydych chi ei eisiau mewn gwirionedd yw'r edrychiad: o ystyried y ffynhonnell hon a'r gyrchfan hon, pa reol a gydweddodd, pa dabled a ymgynghorwyd, a pha ryngwyneb a hop nesaf a ddaeth allan. Dechreuwch o un gyrchfan ac un ffynhonnell, yna darllenwch y dabled gyda'r cwestiwn hwnnw yn eich llaw, a daw'r un allbwn yn dystiolaeth yn lle sŵn.

Mae tabled yn gasgliad o ymgeiswyr, nid yn benderfyniad

Mae pob cofnod yn disgrifio rhagddodiad a beth i'w wneud â thraffig sy'n cydweddu ag ef: ei anfon i ryngwyneb, ei drosglwyddo i hop nesaf, neu ei ollwng. Nid oes dim yn y rhestr honno wedi'i drefnu yn ôl bwriad, ac nid y cofnod sy'n edrych y mwyaf penodol i berson bob amser yw'r un y mae'r cnewyllyn yn ei ddewis, oherwydd mae'r dewis yn dilyn y gydweddiad rhagddodiad hiraf ac, ymhlith rhagddodiadau cyfartal, y metrig.

Felly'r cam cyntaf yw gofyn i'r cnewyllyn yn lle darllen y rhestr. Mae'r gorchymyn edrych yn ateb ar gyfer cyrchfan, ac gyda dadl ffynhonnell mae'n ateb ar gyfer yr union bâr y byddai cysylltiad a anfonwyd ymlaen neu a rwymwyd yn ei ddefnyddio:

ip route get 198.51.100.10
ip route get 198.51.100.10 from 10.80.0.25
ip -6 route get 2001:db8:10::40

Mae pob cyfeiriad uchod yn enghraifft ddogfennol. Y pwynt yw siâp yr ateb: rhyngwyneb, y cyfeiriad ffynhonnell a ddewiswyd, y porth, a'r dabled y daeth y cofnod ohoni. Os nad yw'r allbwn hwnnw'n cydweddu â'r rhyngwyneb roeddech yn ei ddisgwyl, rydych wedi lleoli'r broblem mewn un gorchymyn, ac ni fyddai unrhyw faint o ddarllen y dabled lawn wedi dweud wrthych pa ymgeisydd a enillodd.

Mae'r edrychiad yn cerdded rheolau, yna tablau

Ar Linux mae'r penderfyniad yn ddau gam. Mae rheolau polisi yn cael eu gwerthuso yn nhrefn blaenoriaeth, ac mae'r rheol gyntaf sy'n cydweddu yn enwi tabled i ymgynghori â hi; yna mae'r dabled honno'n gwneud y gydweddiad rhagddodiad hiraf. Gall rheol gydweddu ar ffynhonnell, cyrchfan, marc tânfur, rhyngwyneb neu gyfuniad, a dyna pam y gall dympio'r brif dabled fod yn hollol gywir ac yn hollol amherthnasol i'r pecyn rydych yn ymchwilio iddo.

ip rule show
ip route show table all | head -40
ip route show table 100

Os yw rheol yn anfon traffig o'ch pwll VPN i dabled 100, yna tabled 100 yw'r un sy'n bwysig, ac mae'r brif dabled yn fagl. Dyma hefyd y mecanwaith y tu ôl i lwybro yn seiliedig ar ffynhonnell ar lwybrydd: gall yr un gyrchfan fod â dau ateb gwahanol yn dibynnu ar ble y daeth y pecyn, a dim ond yr edrychiad gyda dadl ffynhonnell sy'n datgelu pa un sy'n berthnasol.

Mae gan IPv6 ei reolau a'i dabledi ei hun. Mae dyluniad sy'n rhedeg y ddwy deulu angen y ddau edrychiad, ac nid yw ateb IPv4 sy'n gweithio yn dweud dim am y llwybr v6 y gallai cleient deu-stac ei ffafrio.

Beth mae'r cleient VPN yn ei osod

Yn gyffredin nid yw cleientiaid yn disodli'r llwybr diofyn, oherwydd byddai hynny'n torri llwybr allanol y twnnel ei hun. Maent yn gosod rhywbeth mwy penodol sy'n ennill yn ôl hyd rhagddodiad: pâr o hanner-ddiofyn yn cwmpasu 0.0.0.0/1 a 128.0.0.0/1 yw'r tric clasurol, gan fod y ddau yn rhagddodiadau hirach na 0.0.0.0/0 ac gyda'i gilydd yn cwmpasu'r holl ofod. Mae eraill yn gosod rhagddodiadau preifat penodol ynghyd â rheol bolisi, ac mae rhai yn ychwanegu marc fel mai dim ond traffig dethol a ddaliwyd.

Dyna pam nad yw "ni wnaeth y VPN newid fy llwybr diofyn" yn dystiolaeth o fethiant. Gwiriwch beth a ychwanegodd, a gwiriwch a yw'r gyrchfan dan sylw o fewn y rhagddodiadau hynny:

ip route show | grep -E 'tun|wg|ppp|ipsec'
ip route get 10.20.30.40 from 10.80.0.25

Mae dau hanner-llwybr yn hawdd i'w colli mewn dymp oherwydd nad ydynt yn edrych fel diofyn. Mae cyfluniad twnnel hollt a anghofiodd gynnwys rhagddodiad yn cynhyrchu'n union y symptom rydych yn ei hela: mae'r rhaglen a ddylai ddefnyddio'r twnnel yn datrys ac yn cysylltu'n lleol yn lle hynny. Cymharwch y rhagddodiadau a osodwyd â'r cyrchfannau sydd eu hangen ar y defnyddiwr mewn gwirionedd, nid â'r cyfeiriadau y digwyddodd i chi eu profi. Mae rhestr twnnel hollt sy'n cwmpasu'r gweinydd ffeilio ond nid ei ddatryswr yn cynhyrchu cysylltiad sy'n datrys i gyfeiriad cyhoeddus ac yna'n methu dilysu, sy'n edrych fel problem cyfrinair ac yn broblem llwybr.

Rhaid i'r llwybr allanol oroesi hefyd

Mae'r twnnel ei hun yn draffig. Mae'r pecynnau sy'n cario'r llwyth a amgylchynwyd yn mynd i gyfeiriad y partner dros y rhyngwyneb ffisegol, ac ni ddylid llwybro'r llwybr hwnnw yn ôl i'r twnnel. Pan fydd, cewch y methiant nodweddiadol lle mae'r twnnel yn sefydlu ac yna'n stopio cludo traffig, oherwydd mae cludiant y twnnel nawr y tu mewn i'r twnnel.

Gwiriwch gyfeiriad y partner fel y gwnaethoch wirio'r gyrchfan fewnol, a chadarnhewch ei fod yn datrys i'r rhyngwyneb ffisegol yn hytrach na'r twnnel:

ip route get 203.0.113.10
traceroute -n -m 5 203.0.113.10

Llwybr ailadroddus, rheol bolisi sy'n dal y partner, neu lwybr diofyn a ddisodlwyd gan gleient twnnel llawn yw'r tri achos arferol. Mae'r tri ar gael eu gweld yn yr edrychiad allanol, ac nid oes yr un ohonynt i'w gweld mewn dymp o'r brif dabled a gymerwyd ar ôl y ffaith.

Beth na all allbwn llwybro ei ddweud wrthych

Mae edrychiad cywir yn golygu y byddai'r cnewyllyn yn anfon y pecyn i rywle synhwyrol. Nid yw'n golygu bod y tânfur yn ei ganiatáu, bod polisi IPsec yn ei gwmpasu, bod rheol NAT yn ei chyfieithu, neu fod gan yr ochr bell lwybr dychwelyd. Mae pob un o'r rheini'n gam diweddarach, a'r nodiadau blaenyrru strongSwan yn disgrifio'r gadwyn y mae'n rhaid i becyn ei phasio ar y ddau ben.

Nid yw ychwaith yn ystyried rhwymo ar lefel rhaglen. Gall proses rwymo i ryngwyneb, gosod marc, neu ddefnyddio ei datryswr ei hun a chysylltu ag enw sy'n datrys yn wahanol i'r hyn a brofwyd gennych. Pan fo'r edrychiad yn iawn a'r cysylltiad yn dal i fethu, y cwestiwn nesaf yw pa broses sy'n ei wneud ac a yw'r broses honno'n gweld yr un dabled â chi.

Felly cadwch y diagnosis mewn trefn: enwch y gyrchfan a'r ffynhonnell, rhedegwch yr edrychiad, darllenwch yn unig y dabled a'r rheol a enwodd yr edrychiad, yna profwch y cam nesaf. Mae'r dilyniant hwnnw'n cadw ymchwiliad llwybro mewn munudau ac yn gadael cofnod y gall rhywun arall ei ddilyn, rhywbeth nad yw tabled a gludwyd byth yn ei wneud.