Kontrolu la politikan enkursigon de Linux antaŭ ol redakti la defaŭltan itineron

VPN-gastiganto respondas sur unu interfaco kaj rifuzas resendi respondojn tra la tunelo, kaj la defaŭlta itinero aspektas ĝusta. Ĉi tie la ĉefa tabelo ĉesas esti la tuta historio. Linux povas elekti enkursigan tabelon por ĉiu paketo per politikaj reguloj, kaj la VPN eble instalas unu. Legu la regulojn antaŭ ol tuŝi la defaŭltan itineron.

La ordo gravas: unue la reguloj, poste la tabelo, kiun ĉiu regulo elektas.

Legu la regulojn laŭ prioritata ordo

Rulu ip rule show kaj legu de supre malsupren. La prioritata numero regas la ordon de taksado, kaj pli malalta numero estas kontrolata pli frue. La defaŭlta regulo ĉe 32766 estas kutime la lasta, kiu gravas. Se la listo estas longa, konservu ĝin en dosiero antaŭ ol ŝanĝi ion ajn.

Por ĉiu regulo, notu la prioritaton, la kongruon (fonto, marko, interfaco aŭ celo) kaj la tabelon, kiun ĝi referencas. Regulo sen uzebla tabelo estas sakstrato, ne itinero.

Faru la samon por IPv6 per ip -6 rule show. Politiko, kiu ekzistas nur en la IPv4-familio, lasas la alian familion sur la ĉefa tabelo.

Legu la tabelon, kiun ĉiu regulo elektas

Uzu ip route show table <name or number> por ĉiu referencata tabelo. Komparu ĝiajn itinerojn kun la interfaco kaj sekva salto, kiujn vi atendas. Malplena aŭ nekompleta tabelo klarigas fiaskon, kiun la ĉefa tabelo ne povas.

La ĉefa tabelo eble ankoraŭ tenas la defaŭltan itineron, kaj tio estas en ordo. Se regulo unue sendas vian fluon al tabelo 51820, la ĉefa defaŭlta itinero estas neplua por tiu paketo.

Serĉu la tabelan nomon en /etc/iproute2/rt_tables se la numero estas nekonata. Tiu serĉo daŭras sekundon kaj malhelpas longan ĉirkaŭiron.

Trovu, kiu instalis la regulon

NetworkManager, wg-quick kaj aliaj skriptoj povas instali regulojn dinamike. Forigi unu dum funkciado eble estos malfarita ĉe la sekva rekonekto. Kontrolu la agordon de la administranto antaŭ ol aldoni konkurencan regulon.

wg-quick, ekzemple, aldonas markitan regulon kaj tabelon por la permesitaj adresoj de la tunelo. Tiu regulo estas la kialo, ke trafiko al tiuj adresoj preterpasas la ĉefan defaŭltan itineron. Se vi forigos ĝin sen ŝanĝi la agordon, la sekva starto restarigos ĝin.

Konservu la eksteran itineron de la finpunkto kaj administran aliron dum vi revizias. Ne malplenigu ĉiujn regulojn sur viva fora pordego por simpligi la eligon. Administra sesio, kiu postvivas la ŝanĝon, estas parto de la testo.

Testu la fontokuntekston, kiu gravas

Generala ip route get respondas al alia demando ol la aplikaĵa fluo. Aldonu la fontadreson, kaj la markon se la VPN uzas unu, por vidi la vojon, kiun la reala paketo prenas. Testu inkluzivitan celon kaj ekskluzivitan kun la sama fontokunteksto. Poste ripetu por IPv6 se la gastiganto uzas duoblan stakon.

Post aprobita korekto, relanĉu la samajn du serĉojn kaj komparu. Tenadu rekordon pri la celita regulo, la tabelo kaj kiom longe la regulo postvivas restarton. Tiu rekordo igas la sekvan servan restartigon klarigebla anstataŭ mistera. La manlibra paĝo de ip-rule dokumentas la kongruajn selektilojn kaj tabelan sintakson.