Vastus lahkub LAN-i kaudu, mitte tunnelist: miks ja kuidas

Lüüsi kaudu avaldatud teenus töötab suuremast osast internetist ja ebaõnnestub ühest kontorist. Keegi kontrollib tunnelit, näeb päringu saabumist ja järeldab, et vastus peab minema sama teed tagasi. Linux ei tööta nii ja ükski tunneli uurimine ei muuda vastust. Vastus marsruuditakse sihtmärgi järgi ja see üks ebaõnnestuv kutsuja asub alavõrgus, milleni host juba otse ulatub.

Mis tegelikult väljuvat paketti määrab

Tuuma otsib paketi sihtmärgile marsruudi, vaadates poliitikareegleid prioriteedi järjekorras ja seejärel tabelit, mille valib sobiv reegel. Liides, mille kaudu pakett saabus, ei mängi mingit rolli, kui just pole kirjutatud reeglit või märget, et see oluliseks teha. See on selle hosti marsruutimise fakt, mitte tunneli viga.

Tunnelist vastuvõetud päring võib seega anda vastuse, mis lahkub füüsilise liidese kaudu, ja voog muutub ühesuunaliseks, ilma et ükski seade teataks veast. Kontrollige mõlemat suunda, enne kui tunneli kohta järelduse teete. Valele poole lahkuv vastus kaob tunneli loenduritest, mistõttu kaks otsa ei ole ühel meelel, kas midagi saadeti. Pange tähele, milline loendur liikus, enne kui reeglit puudutate.

Miks kohalik alavõrk võidab

Hostil, kellel on aadress kohalikus võrgus, on põhitabelis selle prefiksi jaoks ühendatud marsruut, ja ühendatud marsruut on otsene vaste. Kui kutsuja tuleb samast alavõrgust, leiab otsing kohaliku lingi enne, kui tunnelit üldse kaalutakse.

Just asümmeetria teeb diagnoosimise segaseks. Laiemast internetist tulevad kutsujad töötavad, sest nad ei vasta ühelegi kohalikule marsruudile, samas kui ainus kutsuja, kes kontori prefiksit jagab, ebaõnnestub, ja see on täpselt see kutsuja, kellega keegi testib.

Peeride katvus ei ole sama mis paigaldatud marsruudid

Tunneli poolel kirjeldavad peeri lubatud vahemikud, mida tohib tunnelisse saata ja milliseid allikaid sealt vastu võetakse. Need ei ütle midagi selle kohta, kuhu kohalik marsruutimistabel paketi saadab.

Kui tunnelitööriist paigaldab hostile vaikemarsruudi, võib see tuua tunnelisse kõrvalise kahjuna mitteseotud liiklust. Seal, kus otsuse peaks langetama hoopis poliitikareegel, on tööriista marsruutide paigaldamise valik just selle takistamiseks, ja aadressid, võtmed ning lõpp-punkti seaded jäävad täpselt selliseks, nagu need olid. Mugavuse pärast lisatud vaikemarsruut on tavaline viis, kuidas host kaotab oma kohaliku võrgu.

Valige tabel allika aadressi järgi

Allikal põhinev reegel saadab teenuse aadressilt tulevad vastused privaatsesse tabelisse, mille vaikeväärtus on tunnel, samal ajal kui kõik muu kasutab edasi põhitabelit. Valige tabeli- ja prioriteedinumbrid, mida kohapeal ei kasutata, ja lugege olemasolevaid reegleid enne millegi sisestamist. Lugege elavaid reegleid, mitte salvestatud faili, sest need kaks võivad pärast taaskäivitust erineda.

ip -6 route add default dev wg0 table 200
ip -6 rule add priority 32000 from 2001:db8:aa::20/128 lookup 200
ip -6 rule add priority 32001 from 2001:db8:aa::20/128 unreachable

Viimane rida paneb puuduva marsruudi nähtavalt ebaõnnestuma, selle asemel et langeda tagasi kohalikule lingile. Allikas peab olema hostile tõesti määratud ja tavalised kohalikud ning põhiotsingud peavad jääma oma varasematele positsioonidele. Reegel valib tabeli allika järgi; see ei võrdle prefiksite pikkusi tabelite vahel.

Kinnitage tee, seejärel teenus

Küsige tuumalt, mida see teeks, selle asemel et püüdmisest järeldada, kasutades teenuse aadressi allika valijana. Vale vastus siin säästab terve paketijälgimise.

ip -6 route get 2001:db8:bb::30 from 2001:db8:aa::20

Väljund peaks tunnelit nimetama. Seejärel testige allikat, mida te ei puutunud, ja kinnitage, et see kasutab endiselt kohalikku linki, nii et muudatus jäi ühe aadressi piiresse. Laiem valija ei tõestaks algse kaebuse kohta midagi.

Mida see ei paranda

Jätke edastamine, tulemüürireeglid ja ICMPv6 käitumine lüüsil endiseks, sest allikamarsruut ei asenda neist ühtegi. Puuduv Packet Too Big teade rikub endiselt suuri vastuseid, olenemata sellest, milline tabel otsingu võitis. Parandage see enne marsruutimisreeglite lisamist, muidu jääb sümptom muudatusest üle.

Kinnitage avaldamismudel enne, kui midagi sellest rakendate. Pöördproksi, mis avab omaenda taustataristu ühenduse, esitab omaenda allikat ega säilita kutsujat, seega see viga ei saa selles lahenduses esineda. Reegli rakendamine seal lisaks marsruutimiserandi, mis ei lahenda midagi ja varjab tegeliku põhjuse.

Lõpuks kirjutage reeglinumbrid ja tabel hosti konfiguratsioonihaldusse. Käsitsi lisatud poliitikareegel kaob järgmisel uuesti ehitamisel ja kontori kutsuja tuleb tagasi sama kaebusega.