VPN ટ્રાફિકમાં પોલિસી રાઉટિંગ શું બદલે છે અને શું નહીં

પોલિસી રાઉટિંગ મોટાભાગની ટ્રબલશૂટિંગ નોંધો પૂછે છે તેના કરતાં અલગ પ્રશ્નનો જવાબ આપે છે. મુખ્ય કોષ્ટક કહે છે કે ગંતવ્ય ક્યાં જાય છે; પોલિસી નિયમો કહે છે કે કયું કોષ્ટક જ જોવાશે, અને તેઓ તે સ્રોત સરનામાં, પેકેટ માર્ક, અથવા પેકેટ જે ઇન્ટરફેસ પર આવ્યું તેના આધારે નક્કી કરી શકે છે. જ્યારે ટનલ અસંગત વર્તે છે, ત્યારે નિયમ સમૂહ ઘણી વાર કારણ હોય છે અને રાઉટિંગ કોષ્ટક ઘણી વાર નહીં.

નિયમો કોષ્ટક પસંદ કરે છે, પછી કોષ્ટક રૂટ પસંદ કરે છે

દરેક નિયમમાં પ્રાથમિકતા, મેળ શરત અને લક્ષ્ય કોષ્ટક હોય છે. કર્નલ પ્રાથમિકતા ક્રમમાં નિયમોમાંથી પસાર થાય છે અને પ્રથમ મેળ પર અટકે છે, પછી તે કોષ્ટકમાં સામાન્ય સૌથી લાંબા પ્રીફિક્સની શોધ કરે છે. ખાલી કોષ્ટક તરફ ઇશારો કરતો નિયમ આગળના નિયમે પસંદ કરેલા તરફ પડે છે, અને એ રીતે કાળજીપૂર્વક લખાયેલો નિયમ કંઈ ન કરતો હોય તેવું લાગી શકે છે.

એટલે જ મુખ્ય કોષ્ટક ડમ્પ કરવાથી કામ કરતું VPN ક્લાયન્ટ ભાગ્યે જ સમજાય છે. ક્લાયન્ટ સામાન્ય રીતે નીચા પ્રાથમિકતા નંબરો પર નિયમો દાખલ કરે છે, મુખ્ય કોષ્ટકના ડિફોલ્ટ નિયમ પહેલાં ઘણું વહેલું, તેથી પેકેટ તમે જોઈ રહ્યા હતા તે રૂટ સુધી ક્યારેય પહોંચતું નથી. મુખ્ય કોષ્ટકમાં મેટ્રિક ઘટાડવાથી પહેલેથી વિચલિત થયેલા ટ્રાફિક માટે કંઈ બદલાતું નથી.

નિયમ જાણી જોઈને પ્રીફિક્સને બ્લેકહોલ અથવા અગમ્ય પણ બનાવી શકે છે. કેટલાક ક્લાયન્ટ સુરક્ષા સ્વિચ તરીકે એવો નિયમ ઉમેરે છે, અને પછી ડ્રોપ રૂપરેખાંકિત ટનલને બદલે તૂટેલી ટનલ જેવો લાગે છે.

નિયમ સમૂહને યાદી તરીકે નહીં, ક્રમ તરીકે વાંચો

નિયમોને તેમની પ્રાથમિકતાઓ અને તેઓ જે કોષ્ટકોનો સંદર્ભ લે છે તેમની સાથે છાપો, પછી ડિફોલ્ટ અથવા ટનલ રૂટ ધરાવતું દરેક કોષ્ટક છાપો. ક્રમ એ જ ભાગ છે જે મહત્ત્વનો છે, અને સ્ક્રીનશોટ સામાન્ય રીતે એ જ ભાગ છોડી દે છે:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

છેલ્લા બે આદેશો એ જ છે જે સિદ્ધાંતને અવલોકનમાં ફેરવે છે, કારણ કે તેઓ પૂછે છે કર્નલ તે સ્રોત અને તે માર્ક માટે શું કરશે. જો માર્ક બદલાવા પર જવાબ બદલાય, તો માર્ક આધારિત નિયમ ચાલુ છે અને માર્ક છોડી દેતી કોઈપણ કસોટી બીજું પેકેટ ચકાસે છે. બહારનું જોડાણ પોતાનો નિયમ ધરાવે છે. જે ટનલ બધો ટ્રાફિક પોતાના થઈને રૂટ કરે છે તેણે જે એન્ડપોઇન્ટ સરનામે જોડાય છે તેને બાકાત રાખવું જોઈએ, નહીં તો એન્ક્રિપ્ટ થયેલા પેકેટો હમણાં જ છોડેલી ટનલમાં પાછા મોકલાય છે. મોટાભાગના ક્લાયન્ટ એ બાકાત આપમેળે ઉમેરે છે, અને હાથે સંપાદિત નિયમ સમૂહ એ જ જગ્યા છે જ્યાં તે ખોવાય છે.

માર્ક અને સોકેટ: ક્લાયન્ટ ટ્રાફિક વિભાજિત કરે તેવી બે રીતો

કેટલાક ક્લાયન્ટ ફાયરવોલમાં પેકેટ માર્ક કરે છે અને માર્ક સાથે મેળ ખાતો નિયમ ઉમેરે છે. બીજા સોકેટ સ્તરે રાઉટિંગ વાપરે છે, જોડાય તે પહેલાં સોકેટ પર રૂટ મૂકે છે. પ્રથમ ip rule માં દેખાય છે; બીજું દેખાતું નથી, અને સામાન્ય શોધમાં દેખાશે નહીં.

જો કસોટી કાર્યક્રમ તે જે રજૂ કરવાનો છે તે એપ્લિકેશન કરતાં અલગ વર્તે, તો તપાસો કે એપ્લિકેશન માર્ક મૂકે છે કે ઉપકરણ સાથે બંધાય છે. મેકેનિઝમનું નામ પડ્યા પછી એ ફરક રહસ્ય નથી, અને તે સમજાવે છે કે એક જ મશીન પર શેલમાંથી curl અને બ્રાઉઝર ટૅબ અલગ રસ્તા કેમ લઈ શકે. બંને તકનીકો વિશાળ અર્થમાં પોલિસી રાઉટિંગ છે: તેઓ ગંતવ્ય સિવાયની કોઈ વસ્તુ વડે રસ્તો પસંદ કરે છે. તેમાંથી કોઈ ટ્રાફિકને અધિકૃત કરતું નથી, અને કોઈ પીઅર જે ફાયરવોલ નિયમો કે ઓળખપત્રોની અપેક્ષા રાખે છે તેનું સ્થાન લેતું નથી.

બીજો નિયમ ઉમેરતા પહેલાં માલિકી શોધો

નિયમો કોઈ વસ્તુ ઇન્સ્ટોલ કરે છે. VPN ક્લાયન્ટ, નેટવર્ક મેનેજર અને હાથે લખેલી સ્ક્રિપ્ટ દરેક શરૂઆત વખતે નિયમો ઉમેરી શકે છે, અને ફરી જોડાવાની લોજિક અગાઉનો સમૂહ પાછળ છોડી શકે છે. અગાઉના પ્રોફાઇલના બે જૂના નિયમો પ્રોફાઇલ ડિલીટ થયાના ઘણા સમય પછી પણ ટ્રાફિક દોરતા રહેશે.

પ્રાથમિકતા અને આકાર પરથી શોધો કે કઈ પ્રક્રિયા નિયમ ધરાવે છે, અને તપાસો કે એ માલિક દરેક જોડાણ પર સમૂહ ફરી લખે છે કે નહીં. જો લખે, તો આજે ઉમેરેલો હાથેનો નિયમ કાલે અદૃશ્ય થાય, અને સુધારો ક્લાયન્ટના રૂપરેખાંકનમાં આવે, શેલ ઇતિહાસ ફાઇલમાં નહીં. કસોટી માટે આખો નિયમ સમૂહ સાફ કરવો એ અનુમાનિત ખર્ચ સાથેનો લલચાવતો ટૂંકો રસ્તો છે: તે ક્લાયન્ટને પોતાની ટનલ ચાલુ રાખવા માટે જરૂરી નિયમો પણ કાઢી નાખે છે. એક વખતે એક નિયમ કાઢો, અથવા એવા મશીન પર કસોટી કરો જે તમે રીબૂટ કરી શકો.

એક નહીં, બે ફ્લો વડે વ્યાપ્તિ સાબિત કરો

સુધારો ફક્ત ત્યારે જ ચકાસાય છે જ્યારે એક ફ્લો પર અસર થવી જોઈએ અને બીજા પર નહીં. એવું ગંતવ્ય પસંદ કરો જેને પોલિસી ટનલમાં રૂટ કરે, અને બીજું જે બહાર રહેવું જોઈએ, પછી બંને માટે શોધ અને કેપ્ચર સરખાવો:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

જ્યારે બે શોધ અલગ ઇન્ટરફેસ પરત આપે, ત્યારે નિયમ કંઈક કરે છે. જ્યારે તેઓ એક જ ઇન્ટરફેસ પરત આપે, ત્યારે નિયમ ઇરાદા કરતાં વધુ વ્યાપક રીતે મેળ ખાય છે, અને એ જ એ નિષ્ફળતા છે જે એક એપ્લિકેશન માટે બનાવેલી ટનલ દ્વારા આખું સબનેટ ચુપચાપ મોકલે છે.

ટિકિટમાં નિયમોની પ્રાથમિકતાઓ અને માલિક સેવા બે કસોટી સરનામાંઓ સાથે નોંધો. પછી આગળની વ્યક્તિ લક્ષણના વર્ણનને બદલે પુનરુત્પાદનયોગ્ય જોડી ધરાવે છે, અને એક મિનિટમાં કહી શકે કે પોલિસી રાઉટિંગ હજુ ચાલુ છે કે નહીં.