Miksi poistettu VPN-reitti palaa uudelleenyhdistämisen jälkeen

Käsin poistamasi reitti on taas seuraavan uudelleenyhdistämisen jälkeen, ja taulukko näyttää täsmälleen samalta kuin ennen. Se ei ole reititysvika: jokin luo merkinnän uudelleen kokoonpanosta tai yhteyden elinkaaren toiminnosta. Useimmat runbookit pysähtyvät aktiiviseen taulukkoon, minkä vuoksi poisto näyttää toimivan minuutin ja epäonnistuu sitten. Tunnista omistaja, muuta sitä ja todista se uudelleenyhdistämisellä.

Kuka asensi reitin

Aloita ehdokasluettelosta korjauksen sijaan. VPN-profiili voi kantaa omat reitit, palvelin voi työntää ne yhteyden aikana, verkkohallinnan profiili voi ilmoittaa ne, käynnistysyksikkö tai skripti voi lisätä ne, ja IPsec-toteutukset asentavat reitit neuvottelemilleen liikenteen valitsimille. Myös käytäntöpohjaisen reitityksen säännöt voivat ohjata liikenteen kokonaan toiseen taulukkoon.

Ajoitus erottaa ne nopeammin kuin kokoonpanon arkeologia. Merkintä, joka ilmestyy heti, kun liitäntä nousee, kuuluu asiakkaalle; yksi, joka saapuu sekuntia myöhemmin, tuli yleensä palvelimen pushista; yksi, joka on olemassa käynnistyksessä, kuuluu tallennettuun kokoonpanoon. Kirjaa taulukko ennen yhteyttä ja sen jälkeen, irrotusta ja uudelleenkäynnistystä, ja kuvio nimeää omistajan. Reitti, joka palaa vain palvelun uudelleenkäynnistyessä, osoittaa yksikköön eikä VPN:ään.

Lue taulukko ennen sen muokkaamista

Katso ytimen omaa näkymää tallennetun tiedoston sijaan. Protokollasarake näyttää, mikä asensi kunkin merkinnän:

ip route show
ip route show table all
ip rule show

Protokollakenttä, metriikka ja taulukon numero kertovat, katsotko staattista merkintää, ytimen luomaa merkintää vai jotain, jonka daemon lisäsi. Sääntöluettelo on tärkeä, koska haku voi jättää päätaulukon kokonaan, mikä tekee siellä tehdyn muutoksen näkymättömäksi sovellukselle, jota vianmääritystät. Lue rivi vasemmalta oikealle: kohde, yhdyskäytävä, laite, protokolla ja metriikka.

Kysy sitten ytimeltä, mitä reittiä se todella käyttäisi. Suojattu osoite on parempi anturi kuin julkinen:

ip route get 10.20.5.7

Muuta omistajaa, älä oiretta

Kun omistaja on tiedossa, muutos kuuluu sille omistajalle. Poista reitti asiakasprofiilista, korjaa työnnetty reitti palvelimella tai muokkaa verkkohallinnan yhteyttä sen sijaan, että lisäisit kilpailevan pysyvän reitin, joka voittaa metriikalla. Kaksi toisiaan vastaan taistelevaa sääntöä tuottavat taulukon, jota kukaan ei voi myöhemmin selittää.

Säilytä päätepisteen poissulkeminen. Isäntäreitti, joka lähettää VPN-palvelimen oman julkisen osoitteen fyysisen yhdyskäytävän kautta, pitää ulommat tunnelipaketit liikkeessä; poista se, ja tunneli yrittää kantaa itseään. Split-tunnel-profiilissa sama huolellisuus koskee paikallisia aliverkkoja, joiden on tarkoitus ohittaa tunneli.

Yhdistä uudelleen ja vahvista molemmat polut

Yhdistä uudelleen ja tarkista sitten molemmat kohteet yhdellä kierroksella. Suojattu osoite ja suljettu päätepiste vastaavat eri kysymyksiin:

ip route get 10.20.5.7
ip route get 198.51.100.20

Ensimmäisen pitäisi ratketa tunneliliitännän kautta ja toisen fyysisen yhdyskäytävän kautta. Jos molemmat ratkeavat tunnelin kautta, poissulkeminen puuttuu; jos ei kumpikaan, profiilimuutos ei tullut voimaan ja katsot toista omistajaa kuin luulit.

Kirjoita ylös reitin tarkoitus, sen omistaja ja kuinka kauan sen pitäisi elää. Se muistiinpano estää seuraavaa henkilöä toistamasta samaa poisto- ja uudelleenyhdistämiskierrosta.