Wat beliedsrouting oan VPN-ferkear feroaret, en wat net

Beliedsrouting beantwurdet in oare fraach as dy't de measte probleemoplossingsnotysjes stelle. De haadtabel seit wêr't in bestimming hinne giet; beliedsregels sizze hokker tabel oft rieplachte wurdt, en se kinne dat besluite út it boarneadres, in pakketmarkearring, of de ynterface dêr't in pakket op oankaam. As in tunnel har net konsekwint hâldt, is de regelset faak de reden en de routingtabel faak net.

Regels kieze de tabel, dan kiest de tabel de rûte

Elke regel draacht in prioriteit, in oerienkomstbetingst en in doeltabel. De kearn giet de regels yn prioriteitsfolchoarder by lâns en stopet by de earste oerienkomst, docht dan in gewoane syktocht nei de langste foarheaksel yn dy tabel. In regel dy't nei in lege tabel wiist, falt troch nei wat de folgjende regel kiest, en sa kin in soarchfâldich skreaune regel lykje oft er neat docht.

Dêrom ferklearret in útdraai fan 'e haadtabel selden in wurkjende VPN-klant. Kliïnten foegje regels faak ta by lege prioriteitsnûmers, folle foar de standertregel fan 'e haadtabel, dat it pakket berikt nea de rûte dêr't jo nei stoaren. In metryk yn 'e haadtabel ferleegje feroaret neat foar ferkear dat al omlaat wie.

In regel kin ek mei opsetsin in foarheaksel in swart gat of ûnberikber meitsje. Guon kliïnten foegje sa'n regel ta as feiligensskaakel, en dan liket de drip op in brutsen tunnel ynstee fan in konfigurearre.

Lês de regelset as in folchoarder, net as in list

Druk de regels ôf mei har prioriteiten en de tabellen dêr't se nei ferwize, druk dan elke tabel ôf dy't in standert- of tunnelrûte draacht. De folchoarder is it part dat der ta docht, en it is it part dat in skermôfdruk faak weilitten:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

De lêste twa opdrachten binne dyjingen dy't in teory yn in waarnimming feroarje, om't se freegje wat de kearn dwaan soe foar dy boarne en dy markearring. As it antwurd feroaret as de markearring feroaret, is in op markearring basearre regel yn it spul en elke test dy't de markearring weilittet, testet in oar pakket. De bûtenferbining fertsjinnet in eigen regel. In tunnel dy't al it ferkear troch himsels rûtet, moat it einpuntadres útslute dêr't er mei ferbynt, oars wurde de fersifere pakketten werom stjoerd yn 'e tunnel dy't se krekt ferlitten hawwe. De measte kliïnten foegje dy útsluting automatysk ta, en in mei de hân bewurke regelset is it plak dêr't er mist.

Markearrings en sockets: twa manieren hoe't kliïnten ferkear diele

Guon kliïnten markearje pakketten yn 'e firewall en foegje in regel ta dy't by de markearring past. Oaren brûke routing op socketnivo en sette in rûte op 'e socket foar't er ferbynt. It earste is te sjen yn ip rule; it twadde net, en it sil net yn in algemiene syktocht ferskine.

As in testprogramma him oars hâldt as de applikaasje dy't it fertsjintwurdigje moat, kontrolearje dan oft de applikaasje in markearring set of him oan in apparaat bindt. Dat ferskil is gjin mystearje as it meganisme ienris neamd is, en it ferklearret wêrom't in curl fan in shell en in browserblêd op deselde masine ferskate paden nimme kinne. Beide techniken binne beliedsrouting yn 'e brede sin: se kieze in paad mei eat oars as de bestimming. Gjin fan beide autorisearret it ferkear, en gjin fan beide ferfangt de firewallregels of de oanmeldgegevens dy't de peer ferwachtet.

Folgje eigendom foar't jo noch in regel tafoegje

Regels wurde troch eat ynstallearre. In VPN-klant, in netwurkbehearder en in mei de hân skreaun skript kinne elk by it opstarten regels tafoegje, en werferbininglogika kin de foarige set efterlitte. Twa ferâldere regels út in earder profyl sille it ferkear noch lang stjoere neidat it profyl fuortsmiten is.

Fyn út hokker proses de regel besit oan syn prioriteit en syn foarm, en kontrolearje oft dy eigener de set by elke ferbining wer oerskriuwt. As er dat docht, ferdwynt in hjoed tafoege hânregel moarn, en de repopmaak heart yn 'e konfiguraasje fan 'e klant ynstee fan yn in shell-skiednisfaai. De hiele regelset leegje om te testen is in ferloklike koarte wei mei in foarsisbere priis: it hellet ek de regels wei dy't de klant nedich hat om syn eigen tunnel oan 'e gong te hâlden. Wiskje ien regel tagelyk, of test op in masine dy't jo opnij starte kinne.

Bewiis de omfang mei twa streams, net ien

In repopmaak wurdt allinnich ferifiearre troch in stream dy't rekke wurde moat en in stream dy't net. Kies in bestimming dy't it belied de tunnel yn rûtet, en ien dy't derbûten bliuwe moat, ferlykje dan de syktochten en de opnames foar beide:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

As de twa syktochten ferskate ynterfaces weromjouwe, docht de regel wat. As se deselde ynterface weromjouwe, past de regel breder as bedoeld, en dat is de flater dy't stil in hiel subnet troch in tunnel stjoert dy't foar ien applikaasje bedoeld wie.

Skriuw de regelprioriteiten en de besittende tsjinst yn 'e kaart, tegearre mei de twa testadressen. Dan hat de folgjende persoan in werhelbere pear ynstee fan in beskriuwing fan in symptoom, en kin binnen in minút sizze oft beliedsrouting noch yn it spul is.