Hoe't jo VPN-makke rûtes fan statyske ûnderskiede op Linux

In foarheaksel ferskynt op 'e laptop as de tunnel omheech komt, dus it fielt as hat de VPN it ynstallearre. Miskien wol, mar itselde resultaat kin komme fan in kliïntskript dat by ferbining rint, in ferbiningsprofyl dat it subnet listet, of in statyske rûte dy't der altyd wie en pas begon te wurkjen doe't de ynterface bestie. De ferkearde eigner kieze betsjut dat de rûte nei elke opromming weromkomt, en de folgjende persoan werhellet deselde reparaasje. De folchoarder hjirûnder skiedt de trije foardat der wat feroare wurdt.

Stap 1: neam it meganisme dat foarheaksels ynstallearret

Ferskate protokollen leverje berikberens op ferskate manieren, en dat allegear in oankundiging neame ferberget it ferskil. In OpenVPN-tsjinner stjoert in rûtedirektive oer it kontrôlekanaal en de kliïnt ynstallearret it, útsein as in pull-filter it blokket. In WireGuard-konfiguraasje listet tastiene foarheaksels lokaal, dy't de kliïnt brûkt foar sawol kryptokaaierrouting as foar de rûtes dy't er tafoeget. In IPsec-tunnel komt mei de peer oer trafikselekteurs oerien, en de kernel ynstallearret rûtes út dy selekteurs.

Bepaal hokker fan dizze jo tunnel brûkt foardat jo in tabel lêze. In rûte dy't by ferbining útset wurdt is gjin oankundiging fan in routingprotokol en belooft net dat it foarheaksel efter it fiere ein berikber is. Notearje it meganisme njonken it foarheaksel, want it bepaalt wêr't de reparaasje heart.

Stap 2: fergelykje de tabel oer in ferbining

Bewarje de haadtabel mei de tunnel del, bring him omheech, bewarje opnij en fergelykje de twa opnamen. Alles wat ferskynde heart by de libbenssyklus fan 'e ferbining, en alles wat bleau heart by de lokale konfiguraasje.

Meitsje der in opname fan mei ip route show table main > /tmp/route-down.txt, ferbyn en meitsje opnij in opname. Doch itselde foar ip -6 route as de side IPv6 brûkt, want in ûntbrekkend foarheaksel dêr soarget foar flaters dy't neat mei routing te meitsjen lykje te hawwen.

Stap 3: lês de metryk, net allinnich de oanwêzigens

Twa ynfieringen foar itselde foarheaksel kinne njonkeninoar bestean, en de kernel kiest de legere metryk. In statyske rûte mei metryk 50 bliuwt winne fan in útsette rûte op 100, ek al binne beide sichtber, dêrom binne 'de rûte is der' en 'it ferkear brûkt him' ferskate bewearings.

Freegje de kernel direkt mei ip route get 10.20.5.7 en lês de ynterface dy't er rapportearret. As ferkear troch de fysike adapter fuortgiet wylst in tunnelrûte yn 'e tabel sit, ferklearret de metryk of de lingte fan it foarheaksel dat, net de VPN-kliïnt. Werhelje de syktocht foar in host dêr't jo fan witte dat er efter de tunnel libbet en ien dêr't jo fan witte dat er dat net docht, en it ferskil lit sjen oft de splitsing him hâldt en draacht sa't bedoeld is.

Stap 4: fyn de ynfieringen dy't de tunnel oerlibje

Statyske rûtes oerlibje in ôfbrekking neffens ûntwerp, en dêr komme ferâldere ynfieringen wei. In permaninte rûte nei in ynterface dy't net mear bestiet kin in subnet stil ferswolge, en ien nei in werbrûkte ynterfacenamme kin nei in werstart privaat ferkear troch de ferkearde doar stjoere.

Kontrolearje de permaninte kant op it plak dat jo distribúsje brûkt, itsij in systemd-networkd-ienheid, in NetworkManager-profyl of in skript yn 'e up-map fan 'e kliïnt. De libbene tabel reparearje mei ip route del hâldt mar oant de folgjende ferbining. Behannelje dy fuortsmyt as in test fan 'e hypoteze, net as de reparaasje.

Wêr't it fiere ein de ferkearde dekking leveret, bring it by de operator op ynstee fan alles te filterjen. Alle útsette ynstellings weilitte smyt ek DNS en split-tunnelbelied fuort dêr't it profyl fan ôfhinklik is.

Stap 5: befêstigje it weromwei foardat jo de kliïnt de skuld jouwe

Foar side-oan-side of in subnet efter de tunnel hat it fiere ein in rûte werom nei jo kliïntadres nedich en trochstjoering oan op 'e poarte. In ienrjochtingswei liket krekt op in kliïntroutingflater, behalve dat de hânskud en it útgeande pakket beide slagje.

Filterjen fan 'e weromwei foeget in twadde falstrik ta op Linux-poarten. In antwurd dat op in oar ynterface oankomt as't de rûte foarseit, wurdt troch strikte modus weilitten, en asymmetryske wegen troch twa oanbieders lokket dat betrouber út. De drip-tellers op 'e poarte, net op 'e kliïnt, fertelle jo oft it filterjen de oarsaak is.

Stap 6: test it boarne, net de ping

As de keazen rûte krekt is, iepenje dan it echte boarne en befêstigje it weromferkear. In ping-antwurd bewiist it paad yn ien rjochting en neat oer de tsjinst, en in tsjinst dy't antwurdet op in cachede ferbining bewiist noch minder.

Werhelje dan de hiele kontrôle nei in nije ferbining. De wearde fan 'e folchoarder is dat er foarseit wat de folgjende ferbining dwaan sil, dêrom heart sawol de fergeliking as de metryk yn 'e kaart.