Zer aldatzen du politikarako bideratzeak VPN trafikoan, eta zer ez

Politikarako bideratzeak arazoak konpontzeko ohartespen gehienek planteatzen duten beste galdera bati erantzuten dio. Taula nagusiak esaten du nora doan helmuga; politika arauek esaten dute zein taula kontsultatzen den behintzat, eta iturburu helbidetik, pakete marka batetik, edo paketea iritsi zen interfazetik erabaki dezakete. Tunel bat modu inkonsistentean jokatzen duenean, arau multzoa izaten da sarritan arrazoia eta bideratze taula sarritan ez.

Arauek taula aukeratzen dute, gero taulak ibilbidea aukeratzen du

Arau bakoitzak lehentasun bat, bat etortzeko baldintza bat eta helburuko taula bat daramatza. Kernelak arauak lehentasun ordenan zeharkatzen ditu eta lehen bat etortzean gelditzen da, gero aurrizki luzeenaren bilaketa arrunta egiten du taula horretan. Taula huts batera zuzentzen duen araua hurrengo arauak aukeratzen duenera erortzen da, eta horrela arretaz idatzitako arau bat ezer egiten ez duela eman dezake.

Horregatik gutxitan argitzen du taula nagusiak VPN bezero batek funtzionatzea. Bezeroek arauak lehentasun zenbaki baxuetan sartzen dituzte normalean, taula nagusiko arau lehenetsia baino askoz lehenago, beraz paketea ez da inoiz begiratzen ari zinen ibilbidera iristen. Taula nagusiko metrika bat jaisteak ez du ezer aldatzen jada desbideratuta zegoen trafikoarentzat.

Arau batek aurrizki bat zulo beltz edo iristezin bihur dezake nahita. Bezero batzuek halako araua segurtasun etengailu gisa gehitzen dute, eta orduan jaurtiketak tunel hautsia dirudi, konfiguratuta dagoen bat izan beharrean.

Irakurri arau multzoa sekuentzia gisa, ez zerrenda gisa

Inprimatu arauak beren lehentasunekin eta erreferentzia egiten dieten taulekin, gero inprimatu ibilbide lehenetsia edo tunel ibilbidea daraman taula bakoitza. Ordenean dago gakoa, eta pantaila-argazki batek normalean uzten duen zatia da:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Azken bi komandoak teoria behaketa bihurtzen dutenak dira, galdetzen dutelako zer egingo lukeen kernelak iturburu eta marka horretarako. Erantzuna aldatzen bada marka aldatzean, markan oinarritutako arau bat dago jokoan eta marka ahazten duen edozein probek pakete desberdin bat probatzen du. Kanpoko konexioak bere araua merezi du. Bere burutik trafiko osoa bideratzen duen tunel batek konektatzen den amaierako helbidea baztertu behar du, bestela pakete zifratuak utzi berritan utzitako tunelera bidaltzen dira. Bezero gehienek bazterketa hori automatikoki sartzen dute, eta eskuz editatutako arau multzoa da hura falta den lekua.

Markak eta socketak: bezeroek trafikoa banatzeko bi modu

Bezero batzuek paketeak suebakian markatzen dituzte eta markarekin bat datorren arau bat gehitzen dute. Beste batzuek socket mailako bideratzea erabiltzen dute, socketari ibilbidea jarriz konektatu aurretik. Lehena ip rule irteeran agertzen da; bigarrena ez, eta ez da bilaketa generiko batean agertuko.

Proba programa batek ordezkatu behar duen aplikazioak baino modu desberdinean jokatzen badu, egiaztatu aplikazioak marka jartzen duen edo gailu bati lotzen zaion. Desberdintasun hori ez da misterioa mekanismoa izendatu ondoren, eta azaltzen du zergatik shell bateko curl eta nabigatzaileko fitxa batek bide desberdinak har ditzaketen makina berean. Bi teknikak politika bidezko bideratzea dira zentzu zabalean: helmuga ez den zerbait erabiliz aukeratzen dute bidea. Batak ere ez du trafikoa baimentzen, eta batak ere ez ditu ordezkatzen peer-ak espero dituen suebaki arauak edo kredentzialak.

Jarraitu jabetzari beste arau bat gehitu aurretik

Arauak zerbaiten bidez instalatzen dira. VPN bezero batek, sare kudeatzaile batek eta eskuz idatzitako script batek bakoitzak arauak gehi ditzake abiaraztean, eta birkonexio logikak aurreko multzoa utz dezake atzean. Aurreko profil bateko bi arau zaharkituk trafikoa gidatzen jarraituko dute profila ezabatu eta askoz geroago.

Aurkitu zein prozesuk daukan araua, bere lehentasun eta formaren arabera, eta egiaztatu jabe horrek multzoa konexio bakoitzean berridazten duen. Egiten badu, gaur gehitutako eskuzko araua bihar desagertuko da, eta konponketa bezeroaren konfigurazioan dago, ez shell historiako fitxategian. Proba egiteko arau multzo osoa garbitzea lasterbide tentagarria da kostu aurreikugarriarekin: bezeroak bere tunela martxan edukitzeko behar dituen arauak ere kentzen ditu. Ezabatu arau bat aldi berean, edo probatu berrabiarazi dezakezun makina batean.

Frogatu irismena bi fluxurekin, batekin ez

Zuzenketa bat fluxu batek eta beste batek egiaztatzen dute soilik: eragin behar duen fluxuak eta eragin behar ez duen fluxuak. Aukeratu politikak tunelera bideratzen duen helmuga bat, eta kanpoan geratu behar duen beste bat, gero alderatu bietarako bilaketak eta harrapaketak:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Bi bilaketek interfaz desberdinak itzultzen dituztenean, arauak zerbait egiten du. Interfaz bera itzultzen dutenean, arauak nahi baino zabalago egiten du bat, eta hori da aplikazio bakarrerako pentsatutako tunel batetik azpisare oso bat isilpean bidaltzen duen hutsegitea.

Idatzi arauen lehentasunak eta jabe den zerbitzua txartelean, bi proba helbideekin batera. Orduan hurrengo pertsonak erreproduzigarria den bikote bat izango du sintomaren deskribapenaren ordez, eta minutu batean esan ahal izango du politikarako bideratzea oraindik jokoan dagoen.