Revise o enrutamento por políticas de Linux antes de editar a ruta predeterminada
Unha regra pode enviar un fluxo a outra táboa e deixar irrelevante a ruta predeterminada principal. Lea a prioridade, a táboa e o propietario antes de cambiar unha ruta VPN en Linux.
Un host VPN responde nunha interface e négase a devolver as respostas polo túnel, e a ruta predeterminada parece correcta. Aquí é onde a táboa principal deixa de ser toda a historia. Linux pode seleccionar unha táboa de enrutamento por paquete mediante regras de política, e é posible que a VPN instalase unha. Lea as regras antes de tocar a ruta predeterminada.
A orde importa: primeiro as regras, despois a táboa que selecciona cada regra.
Lea as regras por orde de prioridade
Execute ip rule show e lea de arriba abaixo. O número de prioridade controla a orde de avaliación, e un número menor compróbase antes. A regra predeterminada en 32766 adoita ser a última que importa. Se a lista é longa, gárdea nun ficheiro antes de cambiar nada.
Para cada regra, anote a prioridade, a coincidencia (orixe, marca, interface ou destino) e a táboa á que fai referencia. Unha regra sen unha táboa utilizábel é un calexón sen saída, non unha ruta.
Faga o mesmo con IPv6 usando ip -6 rule show. Unha política que só existe na familia IPv4 deixa a outra familia na táboa principal.
Lea a táboa que selecciona cada regra
Use ip route show table <name or number> para cada táboa referenciada. Compare as súas rutas coa interface e o seguinte salto que espera. Unha táboa baleira ou incompleta explica un fallo que a táboa principal non pode.
A táboa principal pode seguir contendo a ruta predeterminada, e iso está ben. Se unha regra envía o seu fluxo primeiro á táboa 51820, a ruta predeterminada principal é irrelevante para ese paquete.
Busque o nome da táboa en /etc/iproute2/rt_tables se o número non lle resulta familiar. Esa busca leva un segundo e evita un desvío longo.
Averigüe quen instalou a regra
NetworkManager, wg-quick e outros scripts poden instalar regras dinamicamente. Borrar unha en tempo de execución pode desfacerse na seguinte reconexión. Revise a configuración do xestor antes de engadir unha regra competidora.
wg-quick, por exemplo, engade unha regra marcada e unha táboa para os enderezos permitidos do túnel. Esa regra é a razón pola que o tráfico a eses enderezos evita a ruta predeterminada principal. Se a elimina sen cambiar a configuración, o seguinte arranque restauraraa.
Conserve a ruta externa do extremo e o acceso de xestión mentres revisa. Non baleire todas as regras nunha pasarela remota activa para simplificar a saída. Unha sesión de xestión que sobrevive ao cambio forma parte da proba.
Probe o contexto de orixe que importa
Un ip route get xenérico responde a unha pregunta distinta da do fluxo da aplicación. Engada o enderezo de orixe, e a marca se a VPN usa unha, para ver o camiño que toma o paquete real. Probe un destino incluído e un excluído co mesmo contexto de orixe. Despois repita para IPv6 se o host executa pila dual.
Tras unha corrección aprobada, volva executar as mesmas dúas consultas e compáreas. Manteña un rexistro da regra prevista, da táboa e de canto sobrevive a regra a un reinicio. Ese rexistro é o que fai explicable o seguinte reinicio do servizo en lugar de misterioso. A páxina do manual de ip-rule documenta os selectores de coincidencia e a sintaxe das táboas.