Hvad en VPN-rutetabel fortæller dig, og hvad den ikke kan

Du opretter forbindelse, kører en ruteudskrift og ser et subnet, du aldrig har hørt om, pege på tunnelen. Den linje siger én ting præcist og flere ting slet ikke. Den registrerer, hvordan denne maskine vil videresende pakker til præfikset, intet om hvilke værter der findes der, og intet om, hvad din konto kan nå. At læse den korrekt tager et minut; at læse den som en oversigt tager meget længere tid at aflære.

Læs tabellen som lokale instrukser

En rute er en videresendelsesinstruks, som den lokale kerne holder: for dette præfiks skal du bruge dette interface og dette næste hop. Præfiksets længde afgør, hvor specifik instruksen er, og det længste match vinder. Intet i den regel nævner tilladelser, tjenestens sundhed eller fjern topologi.

Politikregler kan gribe ind, før tabellen konsulteres, og derfor kan en rute eksistere og alligevel ikke være den, en given pakke bruger. Læs reglerne sammen med tabellen, og spørg derefter kernen, hvilken vej den ville vælge til en bestemt destination. Svaret for én adresse er mere værd end en side med præfikser, og det er det eneste svar, der afspejler de mærker, navnerum og interfacebindinger, klienten har anvendt.

Et bredt præfiks er ikke et katalog

Et /16 dirigeret gennem tunnelen betyder ikke seksten tusind tilgængelige værter, og en standardrute betyder endnu mindre. Serveren bestemmer, hvem der svarer, firewallen bestemmer, hvad der er tilladt, og kontoen bestemmer, hvad der er autoriseret.

En smal tabel har den modsatte fælde: et manglende præfiks kan betyde, at destinationen kan nås ad en anden vej, eller blot at den slet ikke er dirigeret. De to tilfælde ser identiske ud, indtil du tester dem. Sammenlign tabellen med den ressource, du fik besked om at bruge, i stedet for med dine forventninger til, hvad en VPN bør indeholde.

Hvor posteringerne kommer fra

Ruter kommer fra mindst fire steder: konfigurationsfilen, serveren der skubber en rute under forbindelsesopsætningen, en netværksmanager der ejer interfacet, og en person der skriver en kommando under en hændelse. Hver har en forskellig levetid og en forskellig ejer.

Den, der blev skrevet under et udfald, er den, der forsvinder ved genstart og ikke optræder i nogens dokumentation. En rute, som serveren skubber, ændres, når serveren ændres, og derfor dukker et uforklaret nyt præfiks ofte op efter en gateway-opdatering snarere end efter en klientændring. Denne ip-route-manual dokumenterer tabel- og feltssyntaksen, hvis du skal læse flagene.

Kontrollér ruten mod servicekontrakten

Den nyttige sammenligning er mellem tabellen og den service, du blev lovet: navn, adresseomfang, port og ejer. Skriv de fire ved siden af præfikset, og hullerne bliver synlige.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Hvis præfikset findes, og tjenesten stadig fejler, har tabellen gjort sit arbejde, og problemet er et andet sted: navneopløsning, en firewall på den anden side eller en konto uden den rigtige gruppe. Hvis præfikset mangler, er spørgsmålet, hvem der burde have leveret det, ikke hvad man skal skrive. Hvert af de to svar navngiver et team at spørge næste gang, og det er det eneste nyttige output af at læse en rutetabel. Skriv det navn ned, før du lukker terminalen.

Registrér før og efter af enhver ændring, med dato og interface. En rutetabel er et øjebliksbillede af et øjeblik på én maskine, og den bliver først bevis, når nogen har skrevet ned, hvornår den blev taget.