Undersøg Linux-policyrouting, før du redigerer standardruten

En VPN-vært svarer på ét interface og nægter at sende svar tilbage gennem tunnelen, og standardruten ser korrekt ud. Det er her, hovedtabellen holder op med at være hele historien. Linux kan vælge en routingtabel pr. pakke ved hjælp af policyregler, og VPN kan have installeret en. Læs reglerne, før du rører standardruten.

Rækkefølgen betyder noget: først reglerne, derefter tabellen, som hver regel vælger.

Læs reglerne i prioritetsrækkefølge

Kør ip rule show og læs oppefra og ned. Prioritetsnummeret styrer evalueringsrækkefølgen, og et lavere nummer kontrolleres først. Standardreglen på 32766 er normalt den sidste, der betyder noget. Hvis listen er lang, skal du gemme den i en fil, før du ændrer noget.

Notér for hver regel prioriteten, matchningen (kilde, mærke, interface eller destination) og den tabel, den refererer til. En regel uden en brugbar tabel er en blindgyde, ikke en rute.

Gør det samme for IPv6 med ip -6 rule show. En politik, der kun findes i IPv4-familien, efterlader den anden familie på hovedtabellen.

Læs den tabel, hver regel vælger

Brug ip route show table <name or number> for hver refereret tabel. Sammenlign dens ruter med det interface og næste hop, du forventer. En tom eller ufuldstændig tabel forklarer en fejl, som hovedtabellen ikke kan.

Hovedtabellen kan stadig indeholde standardruten, og det er fint. Hvis en regel først sender din strøm til tabel 51820, er hovedstandardruten irrelevant for den pakke.

Slå tabelnavnet op i /etc/iproute2/rt_tables, hvis nummeret er ukendt. Det opslag tager et sekund og forhindrer en lang omvej.

Find ud af, hvem der installerede reglen

NetworkManager, wg-quick og andre scripts kan installere regler dynamisk. Sletning af en regel under kørsel kan blive fortrydt ved næste genopkobling. Kontroller administratorprogrammets konfiguration, før du tilføjer en konkurrerende regel.

wg-quick tilføjer for eksempel en markeret regel og en tabel til tunnelens tilladte adresser. Den regel er grunden til, at trafik til disse adresser omgår hovedstandardruten. Hvis du fjerner den uden at ændre konfigurationen, gendanner næste opstart den.

Bevar slutpunktets ydre rute og administrationsadgang, mens du gennemgår. Skyl ikke alle regler på en levende fjern gateway for at forenkle outputtet. En administrationssession, der overlever ændringen, er en del af testen.

Test den kildekontekst, der betyder noget

Et generisk ip route get besvarer et andet spørgsmål end applikationsstrømmen. Tilføj kildeadressen og mærket, hvis VPN bruger et, for at se den vej, den rigtige pakke tager. Test en inkluderet og en udeladt destination med samme kildekontekst. Gentag derefter for IPv6, hvis værten kører dobbeltstak.

Efter en godkendt rettelse skal du køre de samme to opslag igen og sammenligne. Hold en registrering af den tilsigtede regel, tabellen og hvor længe reglen overlever en genstart. Den registrering er det, der gør den næste servicegenstart forklarlig i stedet for mystisk. manualsiden for ip-rule dokumenterer matchvælgerne og tabelsyntaksen.