Cleient VPN yn dileu eich llwybr ychwanegol? Defnyddiwch dabl polisi

Mae un /24 ar gyfer argraffydd labordy yn diflannu rhwng dau alwad ip route show, a dim ond dweud bod y rhwydwaith wedi newid y mae log y cleient. Nid oedd dim o’i le ar y gorchymyn, y rhagddodiad na’ch braint. Mae cleient corfforaethol sy’n berchen ar fodel llwybro’r gwesteiwr yn ailddatgan y model hwnnw pryd bynnag y bydd rhywun arall yn ei olygu, felly mae’r cofnod a ychwanegwyd gennych yn cael ei ddileu fel ymwthiwr. Mae ymladd ag ef yn yr un tabl yn sefyllfa goll. Y cywiriad yw rhoi’r gorau i gystadlu am y tabl hwnnw’n gyfan gwbl a rhoi’r eithriad yn rhywle nad yw’r monitor byth yn edrych.

Mae’r monitor yn esbonio’r llwybr sydd ar goll

Dangoswch hyn cyn ailddylunio unrhyw beth: darllenwch y tabl, ychwanegwch y rhagddodiad, arhoswch ychydig eiliadau, darllenwch eto. Os yw’r cofnod yn absennol ac na wnaethoch deipio dim i’w ddileu, mae asiant yn gwylio. Dewch o hyd i’r broses sy’n berchen ar yr ymddygiad hwnnw a darllenwch ei chofnodion o amgylch y foment y mae’r llwybr yn diflannu, oherwydd yr un gwasanaeth sy’n cynnal y twnnel, y hidlwyr pecynnau a chyfluniad y datryswr fel arfer. Mae lladd y broses i gadw eich llwybr yn fasnach y byddwch yn ei difaru wrth yr ailgysylltu nesaf.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Mae’r rhagddodiad a’r rhyngwyneb uchod yn ddeiliaid lle. Copïo enw rhyngwyneb o enghraifft sy’n gweithio ar beiriant arall yw’r rheswm mwyaf cyffredin pam nad yw’r arddangosiad hwn yn cynhyrchu dim o gwbl.

Mae ail dabl yn anweledig i’r monitor

Dim ond y tabl y mae’n berchen arno y mae’r asiant yn ei ailadeiladu. Rhowch dabl iddo’i hun i’r eithriad ynghyd â rheol sy’n anfon cyrchfannau cyfatebol yno, ac nid yw’r prif dabl byth yn newid, felly nid oes dim i’r asiant ei gywiro. Dyna’r syniad cyfan: un gofod enw o lwybrau y mae rhywun arall yn eu cynnal, ac un nad ydych chi’n cyffwrdd ag ef yn unig.

Y fasnach yw cynnal a chadw. Gall dau wrthrych wyro ar wahân, ac mae safle’r rheol yn y rhestr yr un mor bwysig â’r llwybr y tu mewn i’r tabl y mae’n ei ddewis.

Adeiladwch yr eithriad, yna gwnewch iddo ennill

Crëwch y tabl, gosodwch y llwybr, ac ychwanegwch reol sy’n dewis y tabl ar gyfer y gyrchfan honno. Mae’r flaenoriaeth yn penderfynu a yw eich rheol yn cael ei hystyried cyn neu ar ôl y rhai a fewnosodwyd gan y cleient, ac ni chyrhaeddir rheol sy’n didoli’n hwyrach, felly mae’r rhif yn rhan o’r dyluniad yn hytrach na addurn. Yna gofynnwch i’r cnewyllyn beth fyddai’n ei wneud mewn gwirionedd, sy’n gwestiwn gwahanol i’r hyn a gyfluniasoch.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

Mae ip route get yn datrys y llwybr y byddai’r cnewyllyn yn ei ddefnyddio, gan gynnwys y dyfais a’r cyfeiriad ffynhonnell. Nid yw’n argraffu dynodydd y tabl, felly parwch ef â ip rule show pan fydd angen i chi gadarnhau pa dabl a enillodd. Gyda’i gilydd maent yn ateb yr un cwestiwn sy’n bwysig: a yw traffig i’r cyfeiriad hwnnw’n gadael lle’r oeddech yn bwriadu?

Siapiau eraill o’r un syniad

Mae’r patrwm yn cyffredinoli unwaith y byddwch yn rhoi’r gorau i feddwl mewn cyrchfannau. Gall is-rwydwaith lleol aros yn hygyrch tra bod y twnnel yn cadw’r llwybr diofyn. Gall atebion o weinydd SSH sy’n gysylltiedig â LAN adael drwy’r rhyngwyneb y gwnaethant gyrraedd arno yn lle diflannu i’r twnnel. A gall rheol seiliedig ar ryngwyneb wthio popeth sy’n cyrraedd rhyngwyneb di-wifr i’r twnnel tra bod traffig y mae’r gwesteiwr yn ei gynhyrchu ei hun yn aros ar Ethernet:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Mae’r achos olaf yn cyfateb i’r rhyngwyneb sy’n dod i mewn yn hytrach na’r gyrchfan, sy’n fath gwahanol o reol a model meddwl gwahanol. Mae traffig sy’n cael ei anfon ymlaen hefyd angen net.ipv4.ip_forward wedi’i alluogi, a rhaid i’r pen pell lwybro’r amrediad ffynhonnell yn ôl neu ei gyfieithu; nid yw rheol ar un peiriant byth yn creu hanner arall y llwybr.

Triniwch y rheol fel un darfodadwy

Mae rheolau a llwybrau tabl yn byw yn y cof. Ar ôl ailgysylltu gall dyfais y twnnel gael ei hailenwi, gall y cyfeiriad a neilltuwyd symud, ac mae rheol sy’n dal yr hen werth yn peidio â chyfateb yn dawel. Ailgymhwyswch y newid cyfan o un sgript sy’n berchen arno, yna ailwirio ip rule show, enw cyfredol y ddyfais ac ip route get newydd yn erbyn cyrchfan go iawn cyn ymddiried yn yr eithriad.

Mae dwy ffin yn goroesi faint bynnag o ofal. Mae’r cleient yn dal i reoli ei reolau hidlo a chyfluniad y datryswr ei hun, ac nid yw eithriad llwybro’n diystyru’r naill na’r llall. Os yw’r cleient hefyd yn dileu eich rheol polisi, y llwybrau a gefnogir yw ei bolisi twnnel hollt ei hun neu gleient sy’n gadael i chi reoli llwybrau, fel OpenConnect; mae clytio deuaidd gwerthwr i dawelu ei fonitor yn ymrwymiad cynnal a chadw gyda gwiriad cyfanrwydd ynghlwm.

Ysgrifennwch y rhif tabl, y flaenoriaeth a’r gyrchfan mewn nodyn wrth ymyl y sgript. Fel arall bydd y person nesaf yn dod o hyd i reol sy’n trechu’r twnnel ac nid oes ganddo ffordd i wybod pam.