VPN taula huts batek ez du berez ezer blokeatzen
Bide egokirik ez duen politika taula batek ez ditu paketeak botatzen; bilaketak aurrera egiten du. Gehitu amaierako ekintza bat, eta gero probatu bi hutsegite-egoerak.
Politika arau batek markatutako paketeak taula dedikatu batera bidaltzen ditu, eta ohiko itxaropena da VPN bidea galtzeak blokeatuko dituela. Mekanismoak beste zerbait egiten du. Taula batek bat datozen biderik ez duenean, bilaketak hurrengo arauarekin jarraitzen du gelditu beharrean, eta main taulak oraindik uplink-rako ohiko lehenetsitako bide bat dauka. Emaitza fail-closed itxura duen eta fail-open gisa jokatzen duen konfigurazio bat da.
Ezer ez da hautsi; horrela zehazten da politikan oinarritutako bideratzea.
Bilaketak aurrera egiten du taulak ezer ez duenean
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 lookup default 32766: from all lookup main
Har ezazu arau-multzo hori: markatutako bilaketa 42 taulara doa, eta geroagoko arau batek marka bera default izeneko taula batera bidaltzen du. 42 taulak erabilgarri den lehenetsitako bide bat daukan bitartean, lehen bilaketak bidea ematen du. Bide hori desagertzen denean eta 42 taulan beste ezer bat ez datorrenean, bilaketa ez da bazterketa bihurtzen; prozesamendua hurrengo araura pasatzen da, eta hark ere ezer aurkitzen ez duenean, main taulara iristen da. Segida horretan ezerk ez du jakinarazten zein arauk eman zuen azken erantzuna, beraz, funtzionatzen duen konexio batek funtzionatzen duen politika baten itxura du.
253 taula, ohiko izenez default, bideratze taula arrunta da eta normalean hutsik egoten da. Bere izena ez da paketeak botatzeko agindua, eta ez da gauza bera taula baten barruko lehenetsitako helmuga-bide batekin.
Amaierako ekintzek bilaketa amaitzen dute
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 prohibit 32766: from all lookup main
Amaierako arau bat VPN bilaketaren ondoren etor daiteke taula huts bateko bilaketaren ordez. Marka berarekin, 42 taularen arauaren ondoren jarritako prohibit ekintza batek bilaketa amaitzen du taula horrek ezer ematen ez duenean, eta administrazio-ukapen bat itzultzen du main taulari beste aukera bat eskaini beharrean. Unreachable eta blackhole ere amaierakoak dira, igorlearentzat errore-jokabide desberdinarekin.
throw motako bide bat desberdina da: taula horren barruan ezer bat ez balitz bezala jokatzen du, beraz geroagoko arauek beren txanda izaten dute oraindik. Horrek throw erorketa deliberatuetarako erabilgarri egiten du eta oker amaierako bloke gisa.
Egiaztatu benetako marka eta interfazearekin
ip -4 rule show ip -4 route show table 42 ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36
Aztertu benetako arauak eta taula, diagrama bat izan beharrean, eta gero galdetu fluxua benetan duen jatorri, marka eta sarrera testuinguruarekin. Helmuga batera zuzendutako irakurtzeko soilik den bilaketa batek, jatorri helbidea, interfazea eta marka emanda, nukleoak aukeratuko lukeen bidea jakinarazten du paketerik irten gabe. Kontsultan marka bat emateak ez du frogatzen suebakiak benetako trafikoa markatzen duenik; hori markatze-arauen aparteko egiaztapena da. Berretsi balioa kontagailu edo erregistro batekin kontsultatik ondorioak atera aurretik.
Tokian sortutako eskaerek beren testuingurua behar dute, haien markatze-bidea birbidalitako trafikoaren bidearen desberdina izan ohi delako. Egiaztatu itzazu aplikazioak benetan erabiliko lukeen irteera-interfazearekin.
Bi hutsegite-egoera, ez bat
Hutsegite-egoera bat VPN bidea desagertzea eta trafikoa uplink-era erortzea da. Bidea instalatuta jarraitzen duen tunel hila beste bat da: paketeak bide erabilezin batera zuzenduta jarraitzen dute erori beharrean, eta sintoma galera isila da, ez konexio zuzen ikusgai bat. Probatu biak, eta baita abiarazteko, berriz konektatzeko eta zerbitzua gelditzeko jokabidea ere.
Horrelako arau batek laguntzen du existitzen den bitartean eta paketeek hura hautatzen duen marka daramaten bitartean soilik. Araua ezabatzen duen itzaltze-script batek, edo marka kentzen duen bide batek, jokabide irekia berrezartzen du. Trantsizio horiek entseatzekoak dira.
Aplikatu politika IPv6ra bereizita, eta eduki onartutako amaierako puntuen salbuespenak esplizitu, inplizitu izan beharrean.