OpenVPN-reittimetriikka: miksi valittu reitti häviää silti

Lisäsit profiilissa reitille metriikan, yhdistit uudelleen, ja liikenne lähtee silti väärästä liitännästä. Luku on harvoin ongelma. Metriikka vain järjestää ehdokkaat, joita käyttöjärjestelmä jo vertailee, ja tarkempi etuliite tai aikaisempi käytäntötaulukko päättää ennen kuin mitään metriikkaa luetaan.

Käy ensin profiili läpi, sitten asennettu taulukko ja lopuksi valintasäännöt. Tämä järjestys vastaa tapaa, jolla asiakas rakentaa reitin, ja estää sinua säätämästä arvoa, joka ei koskaan päädy vertailuun.

Lue reittirivi kenttien järjestyksessä

OpenVPN 2.6 -yhteisöasiakas hyväksyy neljä kenttää IPv4 route -rivillä: verkko, verkkopeite, yhdyskäytävä ja valinnainen metriikka. Yhdyskäytävän paikka on se, mihin erityinen avainsana vpn_gateway kuuluu. Se tarkoittaa tämän yhteyden seuraavaa hyppyä VPN-puolella, ei reititystaulukon numeroa eikä fyysistä reititintäsi. Jos ohitat sen, rivin loppuosa luetaan väärällä käsityksellä siitä, mitä se tekee. verkon asetusten viite dokumentoi kaikki neljä kenttää.

Yksityiselle kohteelle rivi voi kuulua näin:

route-metric 50
route 172.20.0.0 255.255.0.0 vpn_gateway 30

Nimenomainen 30 koskee kyseistä reittiä, ja 50 pysyy oletusarvona kaikille muille profiilin reiteille, jotka jättävät luvun pois. Rivin lukeminen vasemmalta oikealle riittää kertomaan, mikä arvo pätee missäkin.

route-metric on oletusarvo, ei sijoitus

route-metric asettaa varoarvon reiteille, joilla ei ole omaa lukua. Se ei nosta reittiä minkään muun yläpuolelle eikä järjestä uudelleen reittejä, jotka asennettiin nimenomaisilla metriikoilla.

Tämä ero on merkityksellinen, kun profiili sekoittaa molemmat muodot. Yksittäinen route-metric-rivi lähellä yläosaa näyttää määräävältä ja sitä on helppo syyttää, kun taas reitti, joka todella kuljettaa liikennettä, voi kantaa oman metriikkansa kolme riviä alempana.

Jos haluat yhden reitin suosivan polkua, laita luku sille reitille. Jos haluat johdonmukaisen oletusarvon luodussa profiilissa, käytä route-metric ja jätä yksittäiset rivit rauhaan. Näiden kahden sekoittaminen ilman syytä on tapa, jolla profiiliin päätyy reitti, jota kukaan ei osaa selittää.

Tarkista, mitä asiakas asensi

Kun uudelleenyhdistäminen on valmis, kysy ytimeltä, älä profiililta.

ip route show luettelee reitit, jotka asiakas lisäsi, ja ip route get 172.20.5.10 vastaa hyödyllisempään kysymykseen: mitä reittiä tämä kohde tosiasiassa käyttäisi ja millä lähiosoitteella. Jos kohde puuttuu taulukosta, asiakas ei asentanut sitä.

Paikallinen direktiivi, palvelimen työntö tai toinen verkkohallinta voivat lisätä tai poistaa saman etuliitteen, ja viimeksi kirjoittanut voittaa. Pidä päätepistereitti näkyvissä työskennellessäsi, koska yhteys tarvitsee polun etäpalvelimeen, joka ei kulje rakennettavan tunnelin kautta.

Miksi pienempi metriikka häviää silti

Metriikat vertailevat reittejä samaan kohteeseen. Ne eivät tee leveästä etuliitteestä tarkempaa. Kun redirect-gateway def1 on pelissä, asiakas asentaa 0.0.0.0/1 ja 128.0.0.0/1, ja nämä kaksi etuliitettä kattavat koko IPv4-avaruuden tarkemmin kuin 0.0.0.0/0. Oletusreitillä oleva metriikka 1 ei ylitä niitä.

Sama logiikka pätee mihin tahansa päällekkäiseen pariin. /24 voittaa /16:n sen sisällä olevalle osoitteelle riippumatta liitetyistä luvuista, koska haku valitsee ensin tarkimman osuman ja vertaa metriikoita vasta sitten tasavertaisten kesken.

Tämä on se osa, joka näyttää metriikkavirheeltä eikä ole sitä. Tarkista etuliitteen pituus molemmilta ehdokkailta ennen kuin muutat mitään lukua.

Käytäntösäännöt ajetaan ennen taulukkoa

Linuxissa ip rule päättää, mitä reititystaulukkoa tarkastellaan. Säännöt arvioidaan prioriteettijärjestyksessä, joten aikaisempi taulukko voi palauttaa reitin ennen kuin päätaulukkoa edes luetaan. mainin sisällä oleva metriikka ei voi ylittää osumaa taulukossa, jota tarkasteltiin ensin.

Käytä ip rule show ja kysy sitten kyseistä taulukkoa, esimerkiksi ip route show table 100, nähdäksesi mitä kyseinen sääntö palauttaisi. Jos VPN-asiakas tai konttiympäristö lisäsi säännön, vastaus voi olla siellä eikä taulukossa, jota olet lukenut. Myös lähiosoite on merkityksellinen, koska sääntö voi osua lähteeseen ja ratkaista saman kohteen eri tavalla tunneliliikenteelle ja LAN-liikenteelle.

Varmista kohde, älä sijoitus

Riidan päättävä testi on yksi kysely aiottuun aliverkkoon kuuluvalle isännälle sekä ytimen valitseman lähiosoitteen tarkistus. Jos pari vastaa suunnitelmaa, metriikka tekee työnsä, vaikka listaus ei näyttäisi siistiltä sijoitukselta.

Jätä IPv6 ja DNS tämän tarkistuksen ulkopuolelle. Ne määritetään eri direktiiveillä ja ratkaistaan eri mekanismeilla, eikä toimiva IPv4-reitti kerro kummastakaan mitään. Muuta yhtä kerrosta kerrallaan ja suorita kysely uudelleen.