Que lle di unha táboa de rutas VPN e que non pode dicirlle

Conéctase, executa unha listaxe de rutas e ve unha subrede da que nunca oíu falar apuntando ao túnel. Ese liña afirma unha cousa con precisión e varias cousas en absoluto. Rexistra como reenviará esta máquina os paquetes a ese prefixo, nada sobre que hosts existen alí e nada sobre que pode alcanzar a súa conta. Leela correctamente leva un minuto; lela como un inventario leva moito máis tempo desaprendelo.

Lea a táboa como instrucións locais

Unha ruta é unha instrución de reenvío que mantén o núcleo local: para este prefixo, use esta interface e este seguinte salto. A lonxitude do prefixo decide canto de concreta é a instrución e gaña a coincidencia máis longa. Nada nesa regra menciona permisos, estado do servizo nin topoloxía remota.

As regras de política poden intervir antes de que se consulte a táboa, e por iso unha ruta pode existir e aínda así non ser a que usa un paquete determinado. Lea as regras xunto á táboa e despois pregunte ao núcleo que camiño elixiría para un destino concreto. A resposta para un enderezo vale máis que unha páxina de prefixos, e é a única resposta que reflicte as marcas, os espazos de nomes e as vinculacións de interface que aplicou o cliente.

Un prefixo amplo non é un catálogo

Un /16 encamiñado polo túnel non significa dezaseis mil hosts accesibles, e unha ruta por defecto significa aínda menos. O servidor decide quen responde, a devasa decide que se permite e a conta decide que está autorizado.

Unha táboa estreita ten a trampa oposta: un prefixo ausente pode significar que o destino é accesible por outro camiño, ou simplemente que non está encamiñado en absoluto. Eses dous casos parecen idénticos ata que os proba. Compare a táboa co recurso que lle dixeron que usase, non coas súas expectativas do que debería conter unha VPN.

De onde veñen as entradas

As rutas chegan de polo menos catro lugares: o ficheiro de configuración, o servidor que empurra unha ruta durante o establecemento da conexión, un xestor de rede que posúe a interface e unha persoa que escribe un comando durante un incidente. Cada un ten unha vida útil distinta e un propietario distinto.

A que se escribiu durante unha interrupción é a que desaparece ao reiniciar e non aparece na documentación de ninguén. Unha ruta empurrada polo servidor cambia cando cambia o servidor, e por iso un prefixo novo sen explicación adoita aparecer tras unha actualización da devasa e non tras un cambio no cliente. O manual de ip-route documenta a sintaxe da táboa e dos campos se precisa ler os indicadores.

Comprobe a ruta contra o contrato do servizo

A comparación útil é entre a táboa e o servizo que lle prometeron: nome, alcance de enderezos, porto e propietario. Escriba eses catro xunto ao prefixo e os ocos fanse visibles.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Se o prefixo está presente e o servizo segue fallando, a táboa fixo o seu traballo e o problema está noutro sitio: resolución de nomes, unha devasa do outro lado ou unha conta sen o grupo correcto. Se falta o prefixo, a pregunta é quen debería terlo fornecido, non que escribir. Calquera das dúas respostas nomea un equipo ao que preguntar despois, e esa é a única saída útil de ler unha táboa de rutas. Escriba ese nome antes de pechar o terminal.

Rexiste o antes e o despois de calquera cambio, coa data e a interface. Unha táboa de rutas é unha instantánea dun momento nunha máquina, e só se converte en proba cando alguén anotou cando se tomou.