Tarkista Linuxin käytäntöpohjainen reititys ennen oletusreitin muokkaamista
Sääntö voi ohjata virtauksen toiseen tauluun ja tehdä pääoletusreitistä merkityksettömän. Lue prioriteetti, taulu ja omistaja ennen Linuxin VPN-reitin muuttamista.
VPN-isäntä vastaa yhdellä liittymällä ja kieltäytyy lähettämästä vastauksia takaisin tunnelin kautta, ja oletusreitti näyttää oikealta. Tässä päätaulu lakkaa olemasta koko tarina. Linux voi valita reititystaulun pakettikohtaisesti käytäntösääntöjen avulla, ja VPN on ehkä asentanut sellaisen. Lue säännöt ennen kuin kosket oletusreittiin.
Järjestyksellä on väliä: ensin säännöt, sitten taulu, jonka kukin sääntö valitsee.
Lue säännöt prioriteettijärjestyksessä
Suorita ip rule show ja lue ylhäältä alas. Prioriteettinumero ohjaa arviointijärjestystä, ja pienempi numero tarkistetaan aiemmin. Oletussääntö kohdassa 32766 on yleensä viimeinen, jolla on merkitystä. Jos lista on pitkä, tallenna se tiedostoon ennen kuin muutat mitään.
Kirjaa jokaisesta säännöstä prioriteetti, vastaavuus (lähde, merkki, liittymä tai kohde) ja taulu, johon se viittaa. Sääntö ilman käyttökelpoista taulua on umpikuja, ei reitti.
Tee sama IPv6:lle komennolla ip -6 rule show. Käytäntö, joka on vain IPv4-perheessä, jättää toisen perheen päätauluun.
Lue taulu, jonka kukin sääntö valitsee
Käytä komentoa ip route show table <name or number> jokaiselle viitatulle taululle. Vertaa sen reittejä odottamaasi liittymään ja seuraavaan hyppyyn. Tyhjä tai puutteellinen taulu selittää vian, jota päätaulu ei pysty selittämään.
Päätaulussa voi yhä olla oletusreitti, ja se on kunnossa. Jos sääntö lähettää virtauksesi ensin tauluun 51820, pääoletusreitti ei liity kyseiseen pakettiin.
Etsi taulun nimi tiedostosta /etc/iproute2/rt_tables, jos numero on tuntematon. Haku kestää sekunnin ja estää pitkän kiertotien.
Selvitä, kuka asensi säännön
NetworkManager, wg-quick ja muut skriptit voivat asentaa sääntöjä dynaamisesti. Yhden poistaminen ajon aikana voi peruuntua seuraavassa yhteydenmuodostuksessa. Tarkista hallinnan kokoonpano ennen kilpailevan säännön lisäämistä.
wg-quick lisää esimerkiksi merkittyyn sääntöön ja taulun tunnelin sallituille osoitteille. Juuri sen säännön vuoksi liikenne näihin osoitteisiin ohittaa pääoletusreitin. Jos poistat sen muuttamatta kokoonpanoa, seuraava käynnistys palauttaa sen.
Säilytä päätepisteen ulompi reitti ja hallintayhteys tarkistuksen ajan. Älä tyhjennä kaikkia sääntöjä käynnissä olevalla etäyhdyskäytävällä tulosteen yksinkertaistamiseksi. Muutoksen yli säilyvä hallintaistunto on osa testiä.
Testaa lähdekonteksti, jolla on merkitystä
Yleinen ip route get vastaa eri kysymykseen kuin sovelluksen virtaus. Lisää lähdeosoite ja merkki, jos VPN käyttää sellaista, niin näet polun, jonka todellinen paketti kulkee. Testaa mukana oleva ja pois suljettu kohde samalla lähdekontekstilla. Toista sitten IPv6:lle, jos isäntä käyttää kaksoispinoa.
Hyväksytyn korjauksen jälkeen suorita samat kaksi hakua uudelleen ja vertaa. Pidä kirjaa aiotusta säännöstä, taulusta ja siitä, kuinka kauan sääntö kestää uudelleenkäynnistyksen. Juuri se kirja tekee seuraavasta palvelun uudelleenkäynnistyksestä selitettävän eikä mystisen. ip-rule-käsikirjasivu dokumentoi vastaavuusvalitsimet ja taulun syntaksin.