Kuidas Linuxis eristada VPN-i lükatud marsruute staatilistest

Sülearvutis ilmub eesliide, kui tunnel tõuseb, nii et tundub, nagu oleks VPN selle paigaldanud. Võibki olla, kuid sama tulemuse võib anda ühendamisel käivituv kliendiskript, alamvõrku loetlev ühendusprofiil või staatiline marsruut, mis oli seal kogu aeg ja hakkas tööle alles siis, kui liides olemas oli. Vale omaniku valimine tähendab, et marsruut tuleb pärast iga puhastust tagasi ja järgmine inimene kordab sama parandust. Alljärgnev järjestus eraldab need kolm enne, kui midagi muudetakse.

Samm 1: nimetage mehhanism, mis eesliiteid paigaldab

Erinevad protokollid pakuvad kättesaadavust erineval viisil ja kõige selle kuulutuseks nimetamine varjab erinevuse. OpenVPN-i server lükkab juhtkanali kaudu marsruudikäsu ja klient paigaldab selle, kui pull-filter seda ei blokeeri. WireGuard-i konfiguratsioon loetleb lubatud eesliited lokaalselt ja klient kasutab neid nii krüptovõtmete marsruutimiseks kui ka lisatavate marsruutide jaoks. IPsec-tunnel lepib vastaspoolega kokku liiklusvalijad ja tuum paigaldab nendest valijatest marsruudid.

Enne mis tahes tabeli lugemist tehke kindlaks, millist neist teie tunnel kasutab. Ühendamisel lükatud marsruut ei ole marsruutimisprotokolli kuulutus ega tõota, et eesliide on kaugema otsa taga kättesaadav. Märkige mehhanism eesliite kõrvale, sest see otsustab, kuhu parandus kuulub.

Samm 2: võrrelge tabelit üle ühenduse

Salvestage põhitabel tunneliga maas, tõstke see üles, salvestage uuesti ja võrrelge kahte salvestist. Kõik, mis ilmus, kuulub ühenduse elutsükli juurde, ja kõik, mis jäi, kuulub kohaliku konfiguratsiooni juurde.

Salvestage see käsuga ip route show table main > /tmp/route-down.txt, ühenduge ja salvestage uuesti. Tehke sama ip -6 route jaoks, kui sait kasutab IPv6-t, sest puuduv eesliide tekitab seal tõrkeid, mis näivad marsruutimisega mitteseotud olevat.

Samm 3: lugege meetrikat, mitte ainult olemasolu

Sama eesliite jaoks võib kaks kirjet kõrvuti eksisteerida ja tuum valib madalama meetrika. Staatiline marsruut meetrikaga 50 võidab edasi lükatud marsruudi meetrikaga 100, kuigi mõlemad on nähtavad, seepärast on „marsruut on olemas“ ja „liiklus kasutab seda“ erinevad väited.

Küsige tuumalt otse käsuga ip route get 10.20.5.7 ja lugege liidest, mille see teatab. Kui liiklus väljub füüsilise adapteri kaudu, samal ajal kui tabelis istub tunneli marsruut, selgitab seda meetrika või eesliite pikkus, mitte VPN-klient. Korrake otsingut hosti jaoks, kes teie teada on tunneli taga, ja hosti jaoks, kes ei ole, ning erinevus näitab, kas jaotus käitub kavatsetult.

Samm 4: leidke kirjed, mis elavad tunnelist kauem

Staatilised marsruudid jäävad lahtiühendamisele projekti järgi vastu ja sealt tulevad aegunud kirjed. Püsiv marsruut liidesele, mida enam ei ole, võib alamvõrgu vaikselt alla neelata, ja ümberkasutatud liidesenimele osutav marsruut võib pärast taaskäivitust saata privaatse liikluse valest uksest välja.

Kontrollige püsivat poolt kohas, mida teie distributsioon kasutab, olgu selleks systemd-networkd üksus, NetworkManageri profiil või skript kliendi up-kataloogis. Reaalajas tabeli parandamine käsuga ip route del püsib ainult järgmise ühenduseni. Käsitlege seda kustutamist hüpoteesi testina, mitte parandusena.

Kui kaugem ots annab vale katvuse, võtke see operaatoriga üles, selle asemel et kõike filtreerida. Kõigi lükatud seadete äraviskamine viskab ära ka DNS-i ja jagatud tunneli poliitika, millest profiil sõltub.

Samm 5: kinnitage tagasitee enne, kui klienti süüdistate

Sait-saiti ühenduse või tunneli taga oleva alamvõrgu jaoks vajab kaugem pool marsruuti tagasi teie kliendi aadressile ja edastamise sisselülitamist lüüsil. Ühesuunaline tee näeb täpselt välja nagu kliendi marsruutimise viga, ainult et käepigistus ja väljuv pakett õnnestuvad mõlemad.

Vastassuuna filtreerimine lisab Linuxi lüüsidele teise lõksu. Vastus, mis saabub teisele liidesele, kui marsruut ennustab, visatakse range režiimi poolt kõrvale, ja asümmeetrilised teed kahe teenusepakkuja kaudu vallandavad selle usaldusväärselt. Äraviskamise loendurid lüüsil, mitte kliendil, ütlevad, kas filtreerimine on põhjus.

Samm 6: testige ressurssi, mitte pingi

Kui valitud marsruut on õige, avage tegelik ressurss ja kinnitage tagasiliiklus. Pingi vastus tõestab teed ühes suunas ja mitte midagi teenuse kohta, ja vahemällu salvestatud ühendusel vastav teenus tõestab veel vähem.

Seejärel korrake kogu kontrolli pärast uuesti ühendamist. Järjestuse väärtus on selles, et see ennustab, mida järgmine ühendus teeb, seepärast kuuluvad piletisse nii võrdlus kui ka meetrika.