En VPN-standardrute i tabel 200 skjuler din LAN-rute

Fire kontroller adskiller en fejl i politiktabellen fra en fejl i routing: hvilken regel der matchede, hvilken tabel den regel pegede på, hvad den tabel indeholder, og hvilken rute i den der vandt. Hovedtabellen slås ikke op, når en tidligere tabel leverer en rute, så en LAN-post, der er synlig der, kan være uden betydning for den pakke, du tester. Kør kontrollerne i rækkefølge, og den manglende rute dukker op på tredje trin frem for det fjerde.

Længste præfiks-matchning foregår inde i én tabel; den sammenligner ikke alle tabellers ruter som én liste.

Opslaget slutter ved den første tabel, der svarer

Tag en politik, hvor trafik fra et subnet først slår tabel 200 op, tabel 200 indeholder en standardrute gennem tunnelen, og hovedtabellen indeholder LAN-præfikset. En pakke til en LAN-adresse kan matche den standardrute i tabel 200 og stoppe der. Fordi opslaget gav en rute, får den senere hovedtabel-regel aldrig lejlighed til at tilbyde sin mere specifikke post. Resultatet er en pakke, der går ind i tunnelen, mens en aldeles god LAN-rute står ubrugt.

Tidligere regler og maskinens eget opslag på lokale adresser gælder stadig, så testen skal bruge den kilde, markering og det interface, som det virkelige flow bærer. Spørg med noget andet, og LAN’et kan blive valgt korrekt, hvilket skjuler netop den fejl, du jagter.

Sæt LAN-undtagelsen, hvor den hører til

Den valgte tabel kan bære de LAN-, forbundne og endpoint-ruter, den har brug for, hvilket holder politikken selvbærende. Et andet design bruger en eksplicit tidligere regel for LAN-præfikset eller en bevidst throw-rute, der overdrager et præfiks til et senere opslag. Hver er et legitimt mønster med en anden ejer. Vælg ud fra den tilsigtede politik og ud fra, hvem der vedligeholder ruterne, ikke ud fra hvilken der er hurtigere at skrive.

Uanset mønsteret skal undtagelsen være synlig der, hvor politikken defineres. En rute, der tilføjes manuelt og ikke registreres, forsvinder ved næste genstart og tager diagnosen med sig.

Kopiér ikke hovedtabellen i sin helhed

At kopiere hver rute fra hovedtabellen til politiktabellen ligner en rettelse, men skaber et øjebliksbillede. En administrator kan tilføje eller fjerne adresser og interfaces dynamisk, og kopien bliver forældet, uden at nogen opdager det. Hold rutens livscyklus hos sin konfigurationsejer, og genskab tabellen ud fra konfigurationen i stedet for et øjeblik i tiden.

En kopieret tabel undergraver også formålet, fordi den gengiver den fallback-adfærd, som politikken skulle begrænse.

Kontrollér svar separat fra ruter

Når opslaget har valgt den tilsigtede vej, kan svar stadig fejle af grunde, der intet har med tabellen at gøre. Oversættelse kan blive anvendt på det forkerte interface, validering af omvendt vej kan afvise en pakke, der ankom ad en uventet vej, eller endpointet svarer måske slet ikke. Det er forskellige fejl med forskellige beviser, og ingen af dem repareres ved at redigere ruteposter.

Gem opslaget for netop det flow på begge sider af ændringen, så rettelsen forbliver synlig. At slå validering af omvendt vej fra globalt eller skylle regler skaffer ingen manglende rute og svækker urelaterede kontroller.

Notér reglen, tabellen, den vindende rute og svarvejen. Den registrering adskiller en politisk fejl fra en brudt tjeneste.