OpenVPN bidearen metrika: zergatik aukeratutako bideak oraindik galtzen duen

Profilaren bide bati metrika bat gehitu zenion, berriro konektatu, eta trafikoak oraindik interfaze okerretik irteten du. Zenbakia ez da ia inoiz arazoa. Metrika batek sistema eragileak dagoeneko konparatzen dituen hautagaiak ordenatzen ditu soilik, eta prefixu zehatzago batek edo lehenagoko politika-taula batek erabakitzen du edozein metrika irakurri aurretik.

Lehenik profila, gero instalatutako taula, gero hautapen-arauak. Ordena horrek bat egiten du bezeroak bidea eraikitzeko duen moduarekin eta konparazioan inoiz sartzen ez den balio bat doitzetik babesten zaitu.

Irakurri bidearen lerroa eremuen ordenan

OpenVPN 2.6 komunitateko bezero batek lau eremu onartzen ditu IPv4 route lerro batean: sarea, sare-maskara, atebidea eta aukerako metrika bat. Atebidearen posizioa vpn_gateway gako-hitz berezia doan lekua da. Konexio honetarako VPN aldeko hurrengo jauzia esan nahi du, ez bideratze-taula baten zenbakia eta ez zure router fisikoa. Hori saihesten baduzu, lerroaren gainerakoa okerreko ideiarekin irakurtzen da egiten duenari buruz. sare-aukera erreferentzia lau eremu guztiak dokumentatzen ditu.

Helmuga pribatu baterako, lerroak honela irakur dezake:

route-metric 50
route 172.20.0.0 255.255.0.0 vpn_gateway 30

Berariazko 30 bide horri dagokio, eta 50 lehenetsia izaten jarraitzen du zenbakia alde batera uzten duen profileko beste edozein biderentzat. Lerroa ezkerretik eskuinera irakurtzea nahikoa da zein balio non aplikatzen den jakiteko.

route-metric lehenetsia da, ez heina

route-metric beren zenbakia eramaten ez duten bideentzako ordezko balioa ezartzen du. Ez du biderik ezeren gainetik jartzen, eta ez ditu metrika esplizituekin instalatutako bideak berrantolatzen.

Bereizketa horrek garrantzia du profilek bi formak nahasten dituenean. Goiko aldean route-metric lerro bakar batek autoritarioa dirudi eta erraza da harengan errua botatzea, baina trafikoa benetan daraman bideak bere metrika propioa eraman dezake hiru lerro beherago.

Bide batek ibilbide bat lehenets dezan nahi baduzu, jarri zenbakia bide horretan. Sortutako profilean zehar lehenetsi koherente bat nahi baduzu, erabili route-metric eta utzi lerro indibidualak bakean. Biak arrazoirik gabe nahastea da profilek inork azaldu ezin duen bide batekin amaitzeko modua.

Ikusi zer instalatu duen bezeroak

Birkonexioa amaitutakoan, galdetu kernelari, ez profileari.

ip route show bezeroak gehitutako bideak zerrendatzen ditu, eta ip route get 172.20.5.10 galdera erabilgarriagoari erantzuten dio: zein bide erabiliko lukeen helmuga honek benetan, eta zein iturburu-helbide-rekin. Helmuga taulan ez badago, bezeroak ez zuen instalatu.

Tokiko direktiba bat, zerbitzariko push bat edo beste sare-kudeatzaile bat prefixu bera gehitu edo ken dezakete, eta azken idazleak irabazten du. Mantendu amaierako bidearen ibilbidea ikusgai lanean ari zaren bitartean, konexioak urruneko zerbitzarirantz eraikitzen ari den tunelaren bidez ez doan bide bat behar baitu.

Zergatik galtzen duen metrika txikiago batek oraindik

Metrikek helmuga bererako bideak konparatzen dituzte. Ez dute prefixu zabal bat zehatzago egiten. redirect-gateway def1 jokoan dagoenean, bezeroak 0.0.0.0/1 eta 128.0.0.0/1 instalatzen ditu, eta bi prefixu horiek IPv4 espazio osoa estaltzen dute 0.0.0.0/0 baino zehatzago. Lehenetsitako bidean 1 metrika batek ez ditu gainditzen.

Logika bera aplikatzen da gainjartzen diren edozein bikoteri. /24 batek /16 bat irabazten du barruko helbide baterako, erantsitako zenbakiek axola ez dutela, bilaketak lehendabizi bat-etortze zehatzena aukeratzen duelako eta hurrena soilik konparatzen dituelako metrikak berdinak direnen artean.

Hau da metrika-errore bat ematen duen eta ez den zatia. Egiaztatu prefixuaren luzera bi hautagaieetan edozein zenbaki aldatu aurretik.

Politika-arauek taula baino lehenago exekutatzen dira

Linux-en, ip rule-ek erabakitzen du zein bideratze-taula kontsultatzen den. Arauak lehentasun-ordenan ebaluatzen dira, beraz aurreko taula batek bide bat itzul dezake taula nagusia irakurri aurretik. main barruko metrika batek ezin du gainditu lehenago kontsultatutako taula bateko bat-etortze bat.

Erabili ip rule show eta gero kontsultatu taula zehatza, adibidez ip route show table 100, arau horrek zer itzuliko lukeen ikusteko. VPN bezero batek edo edukiontzi-ingurune batek arau bat gehitu badu, erantzuna han egon daiteke, irakurtzen ari zinen taulan beharrean. Iturburu-helbidea ere axola du, arau batek iturburuarekin bat egin dezakeelako eta helmuga bera desberdin ebatz dezakeelako tunel-trafikorako eta LAN-trafikorako.

Egiaztatu helmuga, ez sailkapena

Eztabaida amaitzen duen proba da eremu-programatuan barruan dagoen ostalari bati egindako kontsulta bakarra, gehi kernelak aukeratutako iturburu-helbidearen egiaztapena. Bikote horrek diseinuarekin bat egiten badu, metrikak bere lana egiten du zerrendak sailkapen garbi bat ematen ez duen arren.

Utzi IPv6 eta DNS egiaztapen honetatik kanpo. Direktiba desberdinekin konfiguratzen dira eta mekanismo desberdinekin ebazten, eta funtzionatzen duen IPv4 bide batek ez du ezer esaten bietako bati buruz ere. Aldatu geruza bat aldiko eta exekutatu kontsulta berriro.