Kontrollige Linuxi poliitikapõhist marsruutimist enne vaikimisi marsruudi muutmist

VPN-host vastab ühel liidesel ja keeldub vastuseid tunnelist tagasi saatmast, kuid vaikimisi marsruut näib õige. Siin lakkab peamine tabel olemast kogu lugu. Linux saab poliitikareeglite abil valida iga paketi jaoks marsruutimistabeli ja VPN võib olla ühe installinud. Lugege reeglid enne, kui puudutate vaikimisi marsruuti.

Järjekord on oluline: esmalt reeglid, seejärel tabel, mille iga reegel valib.

Lugege reeglid prioriteedi järjekorras

Käivitage ip rule show ja lugege ülalt alla. Prioriteedi number määrab hindamise järjekorra ja väiksemat numbrit kontrollitakse varem. Vaikimisi reegel 32766 juures on tavaliselt viimane, mis loeb. Kui loend on pikk, salvestage see faili enne, kui midagi muudate.

Märkige iga reegli puhul prioriteet, vaste (allikas, märk, liides või sihtkoht) ja tabel, millele see viitab. Reegel ilma kasutatava tabelita on tupiktee, mitte marsruut.

Tehke sama IPv6 puhul käsuga ip -6 rule show. Poliitika, mis on ainult IPv4 perekonnas, jätab teise perekonna peamisse tabelisse.

Lugege tabelit, mille iga reegel valib

Kasutage ip route show table <name or number> iga viidatud tabeli jaoks. Võrrelge selle marsruute liidese ja oodatava järgmise hüppega. Tühi või puudulik tabel selgitab tõrget, mida peamine tabel selgitada ei suuda.

Peamine tabel võib endiselt sisaldada vaikimisi marsruuti ja see on korras. Kui reegel saadab teie voo kõigepealt tabelisse 51820, on peamine vaikimisi marsruut selle paketi jaoks ebaoluline.

Otsige tabeli nimi /etc/iproute2/rt_tables failist, kui number on tundmatu. See otsing võtab sekundi ja hoiab ära pika ümbersõidu.

Tehke kindlaks, kes reegli installis

NetworkManager, wg-quick ja teised skriptid saavad reegleid dünaamiliselt installida. Reegli kustutamine tööajal võib järgmisel taasühendamisel tagasi pöörduda. Kontrollige halduri konfiguratsiooni enne konkureeriva reegli lisamist.

wg-quick lisab näiteks märgitud reegli ja tabeli tunneli lubatud aadresside jaoks. Just see reegel paneb nendele aadressidele suunduva liikluse peamisest vaikimisi marsruudist mööda minema. Kui eemaldate selle konfiguratsiooni muutmata, taastab järgmine käivitamine selle.

Säilitage lõpp-punkti välimine marsruut ja haldusjuurdepääs ülevaatamise ajal. Ärge tühjendage kõiki reegleid töötaval kaugväraval väljundi lihtsustamiseks. Haldusseanss, mis muudatuse üle elab, on testi osa.

Testige allika konteksti, mis loeb

Üldine ip route get vastab rakenduse voost erinevale küsimusele. Lisage allika aadress ja märk, kui VPN seda kasutab, et näha teed, mida tegelik pakett läbib. Testige kaasatud ja välistatud sihtkohta sama allika kontekstiga. Seejärel korrake IPv6 puhul, kui host töötab kahekihilise virnaga.

Pärast kinnitatud parandust käivitage samad kaks otsingut uuesti ja võrrelge. Pidage arvestust kavandatud reegli, tabeli ja selle üle, kui kaua reegel taaskäivituse üle elab. Just see arvestus teeb järgmise teenuse taaskäivituse seletatavaks, mitte müstiliseks. ip-rule’i käsiraamatu leht dokumenteerib vaste valijad ja tabeli süntaksi.