Γιατί μια διαγραμμένη διαδρομή VPN επιστρέφει μετά την επανασύνδεση

Μια διαδρομή που διαγράψατε με το χέρι επιστρέφει μετά την επόμενη επανασύνδεση, και ο πίνακας φαίνεται ακριβώς όπως πριν. Δεν είναι σφάλμα δρομολόγησης: κάτι δημιουργεί ξανά την εγγραφή από τη διαμόρφωση ή από μια ενέργεια του κύκλου ζωής της σύνδεσης. Τα περισσότερα runbooks σταματούν στον ενεργό πίνακα, γι' αυτό η διαγραφή φαίνεται να λειτουργεί για ένα λεπτό και μετά αποτυγχάνει. Προσδιορίστε τον ιδιοκτήτη, αλλάξτε τον και αποδείξτε το σε μια επανασύνδεση.

Ποιος εγκατέστησε τη διαδρομή

Ξεκινήστε με μια λίστα υποψηφίων αντί για μια διόρθωση. Ένα προφίλ VPN μπορεί να φέρει τις δικές του διαδρομές, ένας διακομιστής μπορεί να τις σπρώχνει κατά τη σύνδεση, ένα προφίλ διαχειριστή δικτύου μπορεί να τις δηλώνει, μια μονάδα εκκίνησης ή ένα σενάριο μπορεί να τις προσθέτει, και οι υλοποιήσεις IPsec εγκαθιστούν διαδρομές για τους επιλογείς κίνησης που διαπραγματεύονται. Οι κανόνες δρομολόγησης πολιτικής μπορούν επίσης να ανακατευθύνουν την κίνηση εντελώς σε άλλον πίνακα.

Ο χρονισμός τους χωρίζει πιο γρήγορα από την αρχαιολογία διαμόρφωσης. Μια εγγραφή που εμφανίζεται τη στιγμή που ανεβαίνει η διεπαφή ανήκει στον πελάτη· μία που φτάνει ένα δευτερόλεπτο αργότερα συνήθως προήλθε από push διακομιστή· μία που υπάρχει κατά την εκκίνηση ανήκει στην αποθηκευμένη διαμόρφωση. Καταγράψτε τον πίνακα πριν και μετά από μια σύνδεση, μια αποσύνδεση και μια επανεκκίνηση, και το μοτίβο θα ονομάσει τον ιδιοκτήτη. Μια διαδρομή που επιστρέφει μόνο όταν επανεκκινεί η υπηρεσία δείχνει σε μονάδα και όχι στο VPN.

Διαβάστε τον πίνακα πριν τον επεξεργαστείτε

Κοιτάξτε την οπτική του ίδιου του πυρήνα αντί για ένα αποθηκευμένο αρχείο. Η στήλη πρωτοκόλλου δείχνει τι εγκατέστησε κάθε εγγραφή:

ip route show
ip route show table all
ip rule show

Το πεδίο πρωτοκόλλου, η μέτρηση και ο αριθμός πίνακα σάς λένε αν κοιτάτε μια στατική εγγραφή, μία που δημιούργησε ο πυρήνας ή κάτι που πρόσθεσε ένας δαίμονας. Η λίστα κανόνων έχει σημασία, γιατί μια αναζήτηση μπορεί να εγκαταλείψει εντελώς τον κύριο πίνακα, κάτι που κάνει μια αλλαγή εκεί αόρατη στην εφαρμογή που αντιμετωπίζετε. Διαβάστε τη γραμμή από αριστερά προς τα δεξιά: προορισμός, πύλη, συσκευή, πρωτόκολλο και μέτρηση.

Στη συνέχεια ρωτήστε τον πυρήνα ποια διαδρομή θα χρησιμοποιούσε πραγματικά. Μια προστατευμένη διεύθυνση είναι καλύτερος ανιχνευτής από μια δημόσια:

ip route get 10.20.5.7

Αλλάξτε τον ιδιοκτήτη, όχι το σύμπτωμα

Αφού γίνει γνωστός ο ιδιοκτήτης, η αλλαγή ανήκει σε εκείνον. Αφαιρέστε τη διαδρομή από το προφίλ του πελάτη, διορθώστε την προωθημένη διαδρομή στον διακομιστή ή επεξεργαστείτε τη σύνδεση του διαχειριστή δικτύου αντί να προσθέτετε μια ανταγωνιστική μόνιμη διαδρομή που κερδίζει με τη μέτρηση. Δύο κανόνες που μάχονται μεταξύ τους δημιουργούν έναν πίνακα που κανείς δεν μπορεί να εξηγήσει αργότερα.

Διατηρήστε την εξαίρεση του τελικού σημείου. Μια διαδρομή κεντρικού υπολογιστή που στέλνει τη δημόσια διεύθυνση του ίδιου του διακομιστή VPN μέσω της φυσικής πύλης είναι αυτό που κρατά τα εξωτερικά πακέτα τούνελ σε ροή· διαγράψτε την και το τούνελ προσπαθεί να μεταφέρει τον εαυτό του. Σε προφίλ split tunnel, η ίδια προσοχή ισχύει για τα τοπικά υποδίκτυα που πρέπει να παρακάμπτουν το τούνελ.

Επανασυνδεθείτε και επαληθεύστε και τις δύο διαδρομές

Επανασυνδεθείτε και μετά ελέγξτε και τους δύο προορισμούς σε ένα πέρασμα. Η προστατευμένη διεύθυνση και το εξαιρεμένο τελικό σημείο απαντούν σε διαφορετικές ερωτήσεις:

ip route get 10.20.5.7
ip route get 198.51.100.20

Η πρώτη πρέπει να επιλύεται μέσω της διεπαφής τούνελ και η δεύτερη μέσω της φυσικής πύλης. Αν και οι δύο επιλύονται μέσω του τούνελ, λείπει η εξαίρεση· αν καμία, η αλλαγή προφίλ δεν τέθηκε σε ισχύ και κοιτάτε διαφορετικό ιδιοκτήτη από ό,τι νομίζατε.

Σημειώστε τον σκοπό της διαδρομής, τον ιδιοκτήτη της και πόσο καιρό πρέπει να ζήσει. Αυτή η σημείωση είναι αυτό που εμποδίζει τον επόμενο άνθρωπο να επαναλάβει τον ίδιο κύκλο διαγραφής και επανασύνδεσης.