Como encamiñar unha aplicación pola VPN sen toda a máquina

A icona do cliente di conectado, a interface existe e a aplicación segue sen alcanzar nada. Esa combinación é habitual, porque unha interface virtual pode permanecer presente mentres faltan o seu par remoto, os seus enderezos ou as súas rutas. ip link é a primeira ferramenta correcta, e tamén a máis doada de sobreinterpretar. As bandeiras e os contadores describen unha capa, e as capas superiores fallan de forma independente. É tamén a ferramenta que a xente cita cando quere probar que o túnel está arriba, xustamente a afirmación que non pode soster por si soa.

Lea a interface antes de ler a icona

Comece por ip -details link show dev tun0 como se documenta no manual de ip-link, substituíndo a interface que o seu cliente posúe de verdade polo nome convencional. As bandeiras, o tipo, a MTU e a identidade da interface son observacións útiles. A redacción do estado dunha interface virtual non ten que comportarse como a indicación de portadora dun cable físico, así que trate UP como unha afirmación sobre a interface e non sobre o túnel.

Esa distinción explica o caso máis confuso: unha interface que persiste mentres o lado remoto se reconecta ou é inalcanzable.

As opcións de persistencia poden manter a ligazón precisamente para que a reconexión non a reconstruía, o que significa que a presenza non é saúde.

Engada contadores e unha petición que deba usalos

Use a vista de estatísticas admitida, ip -s link show dev tun0, e anote os contadores de paquetes e bytes en ambas direccións. Logo xere unha petición inofensiva que deba atravesar a interface e compare a dirección relevante. Unha petición que tomou a ruta directa doutra aplicación non moverá eses contadores, e ese é o sentido do exercicio.

Se o contador de transmisión se move e o de recepción non, o paquete saíu e non volveu nada. Ese é un problema distinto dunha interface que nunca transportou nada. Se ambos contadores se moven e a aplicación segue fallando, a falla está por riba da interface, o que é progreso e non un calexón sen saída.

Tome a lectura dúas veces, unha antes e outra despois, en vez de confiar nunha única instantánea.

Os enderezos e as rutas son pasos separados

Unha ligazón pode existir sen o prefixo, sen a configuración do resolvedor ou sen a ruta que necesita a aplicación. Comprobe o enderezo con ip address show dev tun0, despois comprobe que ruta seleccionaría o destino con ip route get para o obxectivo real. Esas tres observacións responden a tres preguntas distintas, e só a última trata do encamiñamento.

En IPsec, a política de seguridade e o estado da asociación tamén poden importar, e non todo deseño IPsec aparece como unha interface tun simple. Buscar un dispositivo tun que nunca ía existir é unha forma rápida de concluír o incorrecto.

Anote o nome exacto, o espazo de nomes e a hora con calquera saída que garde, porque o mesmo nome noutro contedor ou nunha sesión restaurada representa outro contexto por completo.

Non borre o que non identificou

Unha interface descoñecida non está automaticamente obsoleta. Identifique o seu dono antes de retirar nada, e use o desmantelamento documentado do cliente ou a configuración xestionada cando a retirada sexa realmente a intención. Borrar un túnel vivo para ver que pasa é unha proba que responde a unha pregunta que ninguén fixo.

Se a interface pertence a un tempo de execución de contedores ou a un espazo de nomes de rede que vostede non creou, o dono está a un comando de distancia e paga a pena atopalos primeiro.

Esa cautela tamén se aplica a ip link set down, que parece reversible e moitas veces non o é.

Que debe deixarlle a inspección

Unha boa inspección remata con catro feitos: o nome e o espazo de nomes da interface, as súas bandeiras e a MTU, o delta de contadores dunha petición real, e a ruta e o enderezo que a aplicación necesita de verdade. Con eses datos escritos, o seguinte paso é obvio e pertence a unha capa concreta. Sen eles, cada cambio posterior é unha suposición cun plan de reversión.

Compare eses catro feitos cos mesmos catro dunha sesión que funcione. Se o nome e o espazo de nomes da interface coinciden pero o delta de contadores é cero, a petición nunca chegou ao túnel. Se o delta de contadores é san e a ruta apunta a outro sitio, o túnel está ben e o encamiñamento non. Esa comparación é o que converte un montón de saída nunha decisión.

Garde a saída coa incidencia, porque unha comparación posterior só é útil se pode ver que cambiou.

Despois peche o ciclo probando a aplicación de novo, porque a interface nunca foi o que lle importaba ao usuario.