Wêrom’t in /32-hostrûte it VPN-einpunt berikber hâldt

Jo iepenje nei it ferbinen de rûtetabel en fine ien adres dat troch de tunnel rûte wurdt, wylst it subnet deromhinne noch nei de lokale gateway giet. Dy yngong is in hostrûte: ien adres, matst troch in foarheaksel fan allegear ienen. It docht der ta, om’t rûtebeslissings it langste passende foarheaksel brûke, sadat in /32 in /24 of in standertrûte oer kin nimme sûnder ien fan beide te feroarjen. Oft dat in soarchfâldige útsûndering of in takomstige steuring is, hinget ôf fan hokker adres it neamt en wa’t it ûnderhâldt.

Ien adres, ien yngong yn ’e tabel

In IPv4-hostrûte hat in /32-foarheaksel en in IPv6-hostrûte hat /128, wat betsjut dat de yngong krekt ien bestimmingsadres matse kin. Neat oars yn ’e tabel beweecht: it oerdekkende subnet en de standertrûte bliuwe wêr’t se wiene. De smelle yngong wint foar dat adres om’t syn foarheaksel langer is, net om’t er letter tafoege is.

Dy eigenskip makket fan in hostrûte in goede útsûndering en in minne gewoante. Twa /32-yngongen dy’t de foardoar fan in tsjinst neame, dekke net syn twadde adres, syn IPv6-adres of it adres dêr’t er folgjende moanne hinne ferhúzet. In tabel fol ûnferklearre ien-adres-yngongen betsjut meastentiids dat immen mar om in subnetbeslissing hinne oan it plakken wie ynstee fan dizze te nimmen. Lês earst de lingte fan it foarheaksel en freegje dan wat de yngong beskermje moat.

Lês de yngong fan de klant nei bûten

Begjin by de masine mei it probleem, om’t itselde adres oars rûte wurde kin op in laptop en op de gateway dêrfoar. Freegje de kernel hokker paad er kieze soe foar it krekte adres dat de applikaasje brûkt, ynstee fan de tabel fan boppen te lêzen. It antwurd befettet de ynterface en de folgjende hop, dy’t tegearre de beslissing binne.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Werhelje de fraach foar de adresfamylje dy’t de applikaasje echt kiest, om’t in klant IPv6 foarkomme en in IPv4-útsûndering stil omsile kin. Fergelykje it resultaat foar en nei’t de tunnel opkomt, en bewarje beide útfier. Dy fergeliking lit sjen oft de klant de yngong by it ferbinen tafoege hat of oft er al der wie.

In permaninte yngong en in runtime-yngong misse oars. De runtime-ien ferdwynt mei de sesje, wylst de permaninte in werstart oerlibbet en trochgiet mei ferkear te stjoeren nei in gateway dy’t net mear bestiet.

De einpunt-útsûndering en de rekursjefâle

VPN-klanten ynstallearje meastentiids in hostrûte nei it bûtenste adres fan de server fia de oarspronklike gateway foar’t se de standertrûte om liede. Sûnder dy yngong soene de fersifere pakketten yn ’e tunnel stjoerd wurde dy’t se besykje te bouwen, en soe de ferbining yn in loop rinne oant de tiid ferrint.

De fâle ferskynt as de akseptearre subnets fan ’e tunnel tafallich dat einpuntadres befetsje, of as in twadde profyl letter in breder rûte tafoeget. Dan ferliest de einpunt-yngong fan in langer foarheaksel en stoart de sesje yninoar sadree’t er ferkear begjint troch te litten. It einpuntadres njonken de akseptearre subnets skriuwe is de bêste, om net te sizzen goedkeapste, manier om de botsing foar de brûkers op te merken. It ferklearret ek wêrom’t itselde profyl fan it iene netwurk wurket en fan it oare mist.

Kontrolearje it paad dat de applikaasje echt brûkt

In slagge ping nei de hostnamme is swak bewiis as de applikaasje ferbynt mei in oar adres of in oare famylje. Kontrolearje de krekte kombinaasje fan adres, famylje, poarte en ynterface, fan de masine dy’t de klant útfiert.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

As it paad ferkeard is, beslute dan foar’t jo wat bewurkje oft de eask in netwurk of ien adres is. In eask fan ien adres rjochtfeardiget in hostrûte mei in kommentaar en in eigner; in tsjinst mei rotearjende adressen hat domein-basearre rûtering of in earlike subnetbeslissing nedich.

Ferwiderje yngongen dy’t net mear nei in echte bestimming ferwize en notearje dy’t jo hâlde. In ûnferklearre /32 is trije moanne letter net fan in bug te ûnderskieden, en de folgjende persoan sil it wiskje sûnder te witten wat derfan ôfhong.