La enkursiga regulo legas la paketan markon, ne conntrack

Kvar kontroloj apartigas funkciantan markan regulon de funkcianta itinero: kiun markon la regulo legas, ĉu la pako ankoraŭ portas ĝin ĉe la serĉo, ĉu koneksa marko estis restarigita sur postajn pakojn, kaj ĉu ĉu la masko kaj prioritato de la kongrua regulo permesas al ĝi ekagi. Nombrilo, kiu pliiĝas, pruvas nur, ke iu regulo kongruis kun io. Ĝi diras nenion pri tio, kion la pako portis, kiam la kerno elektis ĝian vojon.

La du markoj loĝas en malsamaj lokoj kaj eksvalidiĝas laŭ malsamaj horaroj.

Du markoj, du vivoj

Paketa marko apartenas al unu skb, vojaĝas kun ĝi tra la hokoj kaj estas konsumata de la fwmark-elektilo de politika enkursigado. Koneksa marko apartenas al la conntrack-enskribo, daŭras tra la pakoj de tiu fluo kaj estas nevidebla por la enkursiga regulo ĝis io kopias ĝin reen. Konservi paketan markon en la konekton estas konservo; restarigi ĝin estas aparta ago. Neniu el ili okazas memkompreneble.

Tial regularo povas ŝajni konsekvenca dum la enkursiga decido vidas nulon: la valoro estis konservita, kaj nenio restarigis ĝin.

Kopii inter ili estas paŝo, kiun vi skribas

La du gravaj deklaroj iras en kontraŭajn direktojn: unu konservas la markon de la pako en la konekton, la alia ŝargas la markon de la konekto sur la pakon. Kiun vi bezonas dependas de tio, kiam la klasifiko okazas rilate al la fluo. Dezajno eble bezonas nur la paketan markon, kaj aldoni conntrack-markadon ĉar ia provizora solvo uzis ambaŭ estas la maniero, kiel simpla politiko akiras duan fiaskmanieron.

ct mark set meta mark
meta mark set ct mark

Skribu la direkton apud la regulo, ĉar ĝi ne estas evidenta el la sintakso unuavide. La unua linio konservas, la dua restarigas, kaj neniu implicas la alian.

Klasifiku antaŭ la serĉo, kiu konsumas ĝin

Loke generita trafiko kaj trafiko plusendita el LAN trapasas malsamajn hokojn kaj atingas enkursigajn decidojn en malsamaj momentoj. Eliga regulo, kiu funkcias por la propraj konektoj de la enkursigilo, ne pruvas, ke la pako de plusendita kliento estis markita antaŭ sia serĉo. Metu la klasifikon tie, kie la serĉo, kiu konsumas ĝin, ankoraŭ ne okazis, kaj kontrolu, ĉu postaj reguloj en la sama ĉeno anstataŭigas la valoron. La ordo ene de ĉeno estas parto de la agordo, ne efektiviga detalo.

Daŭreco de konekta stato ankaŭ bezonas eksplicitan planon. Se nur la unua pako de fluo estas klasifikata, postaj pakoj bezonas la restarigon de la konservita marko, alie ili prenos la nemarkitan vojon. Tio estas la diferenco inter marko, kiu priskribas konekton, kaj unu, kiu priskribas pakon.

Demandu la itineron per markita demando

ip route get 10.77.0.10 mark 0x2

Ekzamenu la regulojn kaj la tabelon, poste demandu la itineron kun la marko inkluzivita, plus la fonto aŭ envenanta interfaco kiam ili influas la politikon. Ordinara nemarkita serĉo respondas alian demandon kaj volonte raportos la vojon, kiun vi ne volis. Kontrolu la maskon kaj prioritaton de la regulo same kiel ĝian valoron, kaj konfirmu, ke la elektita tabelo enhavas uzeblan itineron.

Pliiĝanta nombrilo estas pruvo, ke iu regulo kongruis kun iu pako. Ĝi ne estas pruvo, ke la fina pako portis la celitan markon ĉe la ĝusta decidpunkto.

Legu la markon, la direkton, la tempon kaj la maskon. Kvar kontroloj, kaj la itinero ĉesas esti mistero.