Αναδρομική δρομολόγηση: όταν η σήραγγα πιάνει τα δικά της πακέτα

Η σήραγγα σηκώνεται, το αρχείο καταγραφής δείχνει ολοκληρωμένη χειραψία και ένα δευτερόλεπτο αργότερα η ίδια συνεδρία πεθαίνει και επανασυνδέεται σε βρόχο. Αυτό το μοτίβο έχει συγκεκριμένη αιτία: η διαδρομή προς τον διακομιστή δείχνει τώρα μέσα στη σήραγγα, οπότε τα πακέτα που μεταφέρουν τη σήραγγα στέλνονται μέσα από τη σήραγγα. Τίποτα στην ταυτοποίηση δεν άλλαξε, γι’ αυτό η εκ νέου εισαγωγή διαπιστευτηρίων δεν κάνει καμία διαφορά. Συγκρίνετε την εξωτερική διαδρομή πριν και μετά την αλλαγή και η αναδρομή γίνεται ορατή.

Ελέγξτε πρώτα την εξωτερική διαδρομή

Υπάρχουν δύο πακέτα στο παιχνίδι, όχι ένα. Το εσωτερικό πακέτο ανήκει στην εφαρμογή και πρέπει να είναι κρυπτογραφημένο, ενώ το εξωτερικό πακέτο απευθύνεται στον διακομιστή και πρέπει να τον φτάσει μέσω διαδρομής που δεν εξαρτάται από τη σήραγγα.

ip route get 198.51.100.7
ip rule show
ip route show table all | grep -F 198.51.100.7
wg show wg0 endpoints

Ρωτήστε τον πυρήνα για τη διαδρομή προς τη διεύθυνση του διακομιστή αφού σηκωθεί η σήραγγα και ξανά αφού αλλάξει η προεπιλεγμένη διαδρομή. Ένα επόμενο άλμα που προσγειώνεται στη συσκευή της σήραγγας είναι η ίδια η αναδρομή και φαίνεται χωρίς καμία σύλληψη πακέτων. Η δέσμευση σε διεπαφή, τα σημάδια ή ένας χώρος ονομάτων δικτύου μπορούν να κάνουν μια απλή αναζήτηση ελλιπή, γι’ αυτό χρησιμοποιήστε το πλαίσιο που χρησιμοποιεί ο ίδιος ο πελάτης. Όταν η απάντηση φαίνεται σωστή αλλά η συνεδρία εξακολουθεί να κάνει βρόχο, διαβάστε τους κανόνες της πολιτικής δρομολόγησης και όχι μόνο τον κύριο πίνακα.

Γιατί η συνεδρία επιβιώνει για μια στιγμή

Η χειραψία ολοκληρώνεται πριν εγκατασταθεί η νέα διαδρομή, γι’ αυτό τα πρώτα δευτερόλεπτα φαίνονται υγιή. Μόλις ο πελάτης προσθέσει την προεπιλεγμένη διαδρομή, το επόμενο εξωτερικό πακέτο την ακολουθεί μέσα στη διεπαφή από την οποία πρέπει να περάσει αυτό το εξωτερικό πακέτο. Ο διακομιστής δεν βλέπει τίποτα, ο πελάτης ξαναστέλνει και η προσπάθεια είτε λήγει είτε σκοτώνει τη συνεδρία και ξεκινά από την αρχή.

Αυτή η σειρά εξηγεί γιατί μια σήραγγα μπορεί να δουλεύει σε φορητό υπολογιστή και να αποτυγχάνει σε δρομολογητή και γιατί η αποτυχία συχνά αρχίζει όταν ξεκινά η κίνηση και όχι κατά τη σύνδεση. Εξηγεί επίσης τον βρόχο: κάθε επανεκκίνηση αποκαθιστά τη συνεδρία πριν η διαδρομή το κάνει αδύνατο.

Βρείτε ποιος κατέχει την εξαίρεση του τελικού σημείου

Οι υποστηριζόμενοι πελάτες οργανώνουν τη δική τους εξαίρεση: μια διαδρομή κεντρικού υπολογιστή προς τον διακομιστή μέσω της αρχικής πύλης ή ένα σημάδι που κρατά την εξωτερική υποδοχή έξω από τη σήραγγα. Το ερώτημα είναι αν κάτι άλλο την αφαίρεσε ή την υπερκέρασε.

Στο IPsec που βασίζεται σε διαδρομές, εξετάστε τους επιλογείς πολιτικής που αποφασίζουν ποια πακέτα μπαίνουν στη σήραγγα και επιβεβαιώστε ότι η διεύθυνση του ομοτίμου εξαιρείται από αυτούς. Στο WireGuard, το σημάδι του τείχους προστασίας της διεπαφής και οι κανόνες πολιτικής της κρατούν τα πακέτα μεταφοράς έξω από τη σήραγγα, οπότε μια χειροκίνητα προστιθέμενη προεπιλεγμένη διαδρομή μπορεί να χαλάσει αυτή τη διάταξη. Ένα δεύτερο προφίλ VPN ή ένα σενάριο διαχείρισης που ξαναγράφει την προεπιλεγμένη διαδρομή είναι συχνός ένοχος. Ευρείς κανόνες παράκαμψης που προστίθενται ένας τη φορά είναι το συνηθισμένο αποτέλεσμα και μετατρέπουν ένα σφάλμα δρομολόγησης σε πίνακα που κανείς δεν μπορεί να συντηρήσει.

Ελέγξτε ξανά μετά από αλλαγή δικτύου

Μια διαδρομή κεντρικού υπολογιστή μέσω πύλης Wi-Fi είναι σωστή μέχρι το μηχάνημα να μετακινηθεί σε άλλο δίκτυο. Τότε το ίδιο σύμπτωμα επιστρέφει χωρίς καμία αλλαγή στη διαμόρφωση.

Καταγράψτε τη διεύθυνση του τελικού σημείου, τη διαδρομή πριν και μετά τη σύνδεση και τη διεπαφή που χρησιμοποίησε καθεμία. Αυτά τα τρία γεγονότα συνήθως διαχωρίζουν ένα σφάλμα πελάτη από μια υπερκέραση και επιβιώνουν από το άτομο που τα συνέλεξε.

Συνδεθείτε ξανά στο νέο δίκτυο και επαναλάβετε την ανάγνωση. Αν η εξαίρεση λείπει ξανά, η διόρθωση ανήκει στο προφίλ που την κατέχει και όχι σε μια μεμονωμένη εντολή που πληκτρολογήθηκε κατά τη διάρκεια μιας βλάβης.