Kial /32-gastiga itinero tenas la VPN-finpunkton atingebla

Vi malfermas la enkursigan tabelon post konektiĝo kaj trovas unu adreson enkursigita tra la tunelo, dum la subreto ĉirkaŭ ĝi ankoraŭ iras al la loka enirejo. Tiu rikordo estas gastiga itinero: unu adreso, kongruigita de prefikso el ĉiuj unuoj. Ĝi gravas ĉar enkursigaj decidoj uzas la plej longan kongruan prefikson, do /32 povas superregi /24 aŭ defaŭltan itinieron sen ŝanĝi iun ajn el ili. Ĉu tio estas zorgema escepto aŭ estonta paneo dependas de tio, kiun adreson ĝi nomas kaj kiu ĝin prizorgas.

Unu adreso, unu rikordo en la tabelo

IPv4-gastiga itinero portas prefikson /32 kaj IPv6-gastiga itinero portas /128, kio signifas, ke la rikordo povas kongrui precize unu celadreson. Nenio alia en la tabelo moviĝas: la kovranta subreto kaj la defaŭlta itinero restas kie ili estis. La mallarĝa rikordo gajnas por tiu adreso ĉar ĝia prefikso estas pli longa, ne ĉar ĝi aldoniĝis poste.

Tiu eco faras gastigan itinieron bona escepto kaj malbona kutimo. Du rikordoj /32, kiuj nomas la antaŭan pordon de servo, ne kovras ĝian duan adreson, ĝian IPv6-adreson, nek la adreson al kiu ĝi translokiĝos venontmonate. Tabelo plena de neklarigitaj unuadresaj rikordoj kutime signifas, ke iu daŭre flikis ĉirkaŭ subreta decido anstataŭ fari ĝin. Legu unue la prefiksan longon, poste demandu, kion la rikordo supozeble protektas.

Legu la rikordon de la kliento eksteren

Komencu ĉe la maŝino kun la problemo, ĉar la sama adreso povas esti enkursigita malsame sur tekkomputilo kaj sur la enirejo antaŭ ĝi. Demandu la kernon, kiun vojon ĝi elektus por la preciza adreso, kiun la aplikaĵo uzas, anstataŭ legi la tabelon de supre. La respondo inkluzivas la interfacon kaj la sekvan salteton, kiuj kune estas la decido.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Ripetu la demandon por la adresfamilio, kiun la aplikaĵo efektive elektas, ĉar kliento povas preferi IPv6 kaj silente preterpasi IPv4-escepton. Komparu la rezulton antaŭ kaj post kiam la tunelo leviĝas, kaj konservu ambaŭ eligojn. Tiu komparo montras, ĉu la kliento aldonis la rikordon ĉe konektiĝo aŭ ĉu ĝi jam estis tie.

Konstanta rikordo kaj rul-tempa rikordo malsukcesas malsame. La rul-tempa malaperas kun la seanco, dum la konstanta postvivas restartigon kaj daŭre sendas trafikon al enirejo, kiu ne plu ekzistas.

La finpunkta escepto kaj la rikura kaptilo

VPN-klientoj kutime instalas gastigan itinieron al la ekstera adreso de la servilo tra la originala enirejo antaŭ ol ili redirektas la defaŭltan itinieron. Sen tiu rikordo la ĉifritaj pakaĵoj estus senditaj en la tunelon, kiun ili provas konstrui, kaj la konekto turniĝus en buklo ĝis ĝi tempolimos.

La kaptilo aperas, kiam la akceptitaj subretoj de la tunelo hazarde inkluzivas tiun finpunktan adreson, aŭ kiam dua profilo poste aldonas pli larĝan itinieron. Tiam la finpunkta rikordo perdas al pli longa prefikso kaj la seanco kolapsas tuj kiam ĝi komencas pasigi trafikon. Skribi la finpunktan adreson apud la akceptitaj subretoj estas la plej malmultekosta maniero rimarki la kolizion antaŭ la uzantoj. Ĝi ankaŭ klarigas, kial la sama profilo funkcias el unu reto kaj malsukcesas el alia.

Kontrolu la vojon, kiun la aplikaĵo vere uzas

Sukcesa ping al la gastignomo estas malforta pruvo, kiam la aplikaĵo konektiĝas al alia adreso aŭ alia familio. Kontrolu la precizan kombinaĵon de adreso, familio, pordo kaj interfaco, de la maŝino, kiu rulas la klienton.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Se la vojo estas malĝusta, decidu, ĉu la postulo estas reto aŭ unu adreso, antaŭ ol redakti ion ajn. Postulo pri unu adreso pravigas gastigan itinieron kun komento kaj posedanto; servo kun rotaciaj adresoj bezonas domajn-bazitan enkursigon aŭ honestan subretan decidon.

Forigu rikordojn, kiuj ne plu mapas al reala celo, kaj notu tiujn, kiujn vi konservas. Neesplika /32 estas nedistingebla de cimo post tri monatoj, kaj la sekva persono forigos ĝin sen scii, kio dependis de ĝi.