Provjerite Linux politiku rutiranja prije izmjene zadane rute

VPN host odgovara na jednom interfejsu i odbija poslati odgovore natrag kroz tunel, a zadana ruta izgleda ispravno. To je tačka na kojoj glavna tablica prestaje biti cijela priča. Linux može odabrati tablicu rutiranja po paketu pomoću pravila politike, a VPN je možda instalirao jedno. Pročitajte pravila prije nego dirate zadanu rutu.

Redoslijed je važan: prvo pravila, zatim tablica koju svako pravilo odabere.

Pročitajte pravila po prioritetu

Pokrenite ip rule show i čitajte odozgo prema dolje. Broj prioriteta kontrolira redoslijed provjere, a manji broj se provjerava ranije. Zadano pravilo na 32766 obično je posljednje koje je važno. Ako je lista dugačka, spremite je u datoteku prije nego što bilo šta promijenite.

Za svako pravilo zabilježite prioritet, podudaranje (izvor, oznaka, interfejs ili odredište) i tablicu na koju se poziva. Pravilo bez upotrebljive tablice je slijepa ulica, a ne ruta.

Učinite isto za IPv6 pomoću ip -6 rule show. Politika koja postoji samo u IPv4 porodici ostavlja drugu porodicu na glavnoj tablici.

Pročitajte tablicu koju svako pravilo odabere

Koristite ip route show table <name or number> za svaku navedenu tablicu. Uporedite njene rute s interfejsom i sljedećim skokom koji očekujete. Prazna ili nepotpuna tablica objašnjava kvar koji glavna tablica ne može.

Glavna tablica može još uvijek držati zadanu rutu i to je u redu. Ako pravilo prvo pošalje vaš tok u tablicu 51820, glavna zadana ruta nije relevantna za taj paket.

Potražite ime tablice u /etc/iproute2/rt_tables ako vam je broj nepoznat. Ta provjera traje sekundu i sprječava dugo lutanje.

Otkrijte ko je instalirao pravilo

NetworkManager, wg-quick i druge skripte mogu dinamički instalirati pravila. Brisanje pravila tokom rada može biti poništeno pri sljedećem ponovnom povezivanju. Provjerite konfiguraciju upravitelja prije nego dodate konkurentno pravilo.

wg-quick, na primjer, dodaje označeno pravilo i tablicu za dozvoljene adrese tunela. Zbog tog pravila promet prema tim adresama zaobilazi glavnu zadanu rutu. Ako ga uklonite bez promjene konfiguracije, sljedeće podizanje će ga vratiti.

Sačuvajte vanjsku rutu odredišta i upravljački pristup dok pregledate. Ne ispirajte sva pravila na živom udaljenom pristupniku da biste pojednostavili izlaz. Upravljačka sesija koja preživi promjenu dio je testa.

Testirajte kontekst izvora koji je važan

Generički ip route get odgovara na drugo pitanje od toka aplikacije. Dodajte adresu izvora i oznaku ako je VPN koristi, da vidite putanju koju stvarni paket prolazi. Testirajte uključeno i isključeno odredište s istim kontekstom izvora. Zatim ponovite za IPv6 ako host radi dvostruki stog.

Nakon odobrene ispravke ponovno pokrenite iste dvije provjere i uporedite. Vodite evidenciju o namjeravanom pravilu, tablici i tome koliko dugo pravilo preživljava restart. Ta evidencija čini sljedeći restart usluge objašnjivim umjesto tajanstvenim. Stranica priručnika za ip-rule dokumentira selektore podudaranja i sintaksu tablice.