Miks /32 hosti marsruut hoiab VPN-i lõpp-punkti kättesaadavana

Avate pärast ühendamist marsruutimistabeli ja leiate ühe aadressi, mis on suunatud läbi tunneli, samal ajal kui selle ümber olev alamvõrk läheb endiselt kohalikku lüüsi. See kirje on hosti marsruut: üks aadress, mis vastab kõigist ühtedest koosnevale prefiksile. See loeb, sest marsruutimisotsused kasutavad pikimat sobivat prefiksit, nii et /32 võib ületada /24 või vaikimisi marsruudi, muutmata kumbagi neist. Kas see on hoolikas erand või tulevane katkestus, sõltub sellest, millist aadressi see nimetab ja kes seda hooldab.

Üks aadress, üks kirje tabelis

IPv4 hosti marsruut kannab /32 prefiksit ja IPv6 hosti marsruut /128, mis tähendab, et kirje saab sobida täpselt ühe sihtaadressiga. Midagi muud tabelis ei liigu: kattev alamvõrk ja vaikimisi marsruut jäävad sinna, kus nad olid. Kitsas kirje võidab selle aadressi puhul seetõttu, et selle prefiks on pikem, mitte seetõttu, et see hiljem lisati.

See omadus teeb hosti marsruudist hea erandi ja halva harjumuse. Kaks /32 kirjet, mis nimetavad teenuse esiust, ei kata selle teist aadressi, selle IPv6 aadressi ega aadressi, kuhu see järgmisel kuul kolib. Tabel, mis on täis seletamata üksikaadressi kirjeid, tähendab tavaliselt, et keegi lappis pidevalt alamvõrgu otsuse ümber, selle asemel et see teha. Lugege esmalt prefiksi pikkust ja seejärel küsige, mida kirje peaks kaitsma.

Lugege kirjet kliendist väljapoole

Alustage masinast, millel probleem on, sest sama aadress võib sülearvutis ja selle ees olevas lüüsis olla marsruuditud erinevalt. Küsige tuumalt, millise tee see valiks täpselt selle aadressi jaoks, mida rakendus kasutab, selle asemel et lugeda tabelit ülalt. Vastus sisaldab liidest ja järgmist hüpet, mis koos on otsus.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Korrake päringut aadressiperekonnale, mille rakendus tegelikult valib, sest klient võib eelistada IPv6-te ja vaikselt IPv4 erandist mööda minna. Võrrelge tulemust enne ja pärast tunneli tõusmist ning hoidke mõlemad väljundid. See võrdlus näitab, kas klient lisas kirje ühendamise hetkel või oli see juba olemas.

Püsiv kirje ja käitusaegne kirje ebaõnnestuvad erinevalt. Käitusaegne kaob koos seansiga, samas kui püsiv elab üle taaskäivituse ja saadab jätkuvalt liiklust lüüsile, mida enam ei ole.

Lõpp-punkti erand ja rekursioonilõks

VPN-kliendid paigaldavad tavaliselt hosti marsruudi serveri välisaadressile algse lüüsi kaudu enne vaikimisi marsruudi ümbersuunamist. Ilma selle kirjeta saadetaks krüpteeritud paketid tunnelisse, mida nad püüavad ehitada, ja ühendus jääks tsüklisse, kuni aegub.

Lõks ilmub siis, kui tunneli vastuvõetud alamvõrgud juhtumisi sisaldavad seda lõpp-punkti aadressi, või kui teine profiil lisab hiljem laiema marsruudi. Siis kaotab lõpp-punkti kirje pikemale prefiksile ja seanss variseb kokku niipea, kui hakkab liiklust läbi laskma. Lõpp-punkti aadressi kirjutamine vastuvõetud alamvõrkude kõrvale on odavaim viis märgata kokkupõrget enne kasutajaid. See selgitab ka, miks sama profiil töötab ühest võrgust ja ebaõnnestub teisest.

Kontrollige teed, mida rakendus tõesti kasutab

Edukas ping hostinimele on nõrk tõend, kui rakendus ühendub teise aadressi või teise perekonnaga. Kontrollige täpset aadressi, perekonna, pordi ja liidese kombinatsiooni masinast, mis klienti käitab.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Kui tee on vale, otsustage enne millegi muutmist, kas nõue on võrk või üks aadress. Ühe aadressi nõue õigustab hosti marsruuti kommentaari ja omanikuga; pöörlevate aadressidega teenus vajab domeenipõhist marsruutimist või ausat alamvõrgu otsust.

Eemaldage kirjed, mis ei vasta enam tegelikule sihtkohale, ja märkige need, mille jätate. Seletamata /32 on kolm kuud hiljem veast eristamatu ja järgmine inimene kustutab selle, teadmata, mis sellest sõltus.