Zašto se izbrisana VPN ruta vraća nakon ponovnog povezivanja

Brisanje aktivne rute ne mijenja ništa kada je profil, push ili boot jedinica ponovo stvori. Pronađite vlasnika, promijenite to tamo i provjerite pri ponovnom povezivanju.

Ruta koju ste ručno izbrisali vraća se nakon sljedećeg ponovnog povezivanja, a tabela izgleda potpuno kao prije. To nije greška u rutiranju: nešto ponovo stvara unos iz konfiguracije ili iz radnje u životnom ciklusu veze. Većina runbooka staje na aktivnoj tabeli, zato se čini da brisanje radi minutu, a zatim ne uspije. Prepoznajte vlasnika, promijenite ga i dokažite to pri ponovnom povezivanju.

Ko je instalirao rutu

Počnite s popisom kandidata, a ne s popravkom. VPN profil može nositi vlastite rute, server ih može slati pri povezivanju, profil mrežnog upravitelja ih može deklarisati, boot jedinica ili skripta ih može dodati, a IPsec implementacije instaliraju rute za selektore prometa koje pregovaraju. Pravila rutiranja po politici također mogu preusmjeriti promet u potpuno drugu tabelu.

Vrijeme ih razdvaja brže od konfiguracijske arheologije. Unos koji se pojavi u trenutku kada interfejs podigne pripada klijentu; onaj koji stigne sekundu kasnije obično dolazi iz server push-a; onaj koji postoji pri podizanju sistema pripada sačuvanoj konfiguraciji. Zabilježite tabelu prije i poslije povezivanja, prekida i ponovnog pokretanja, i obrazac će imenovati vlasnika. Ruta koja se vraća samo kada se servis ponovo pokrene ukazuje na jedinicu, a ne na VPN.

Pročitajte tabelu prije nego je uredite

Gledajte u vlastiti pogled kernela, a ne u sačuvanu datoteku. Kolona protokola pokazuje šta je instaliralo svaki unos:

ip route show
ip route show table all
ip rule show

Polje protokola, metrika i broj tabele govore vam gledate li statički unos, onaj koji je kreirao kernel ili nešto što je dodao demon. Popis pravila je važan jer pretraga može potpuno napustiti glavnu tabelu, što izmjenu tamo čini nevidljivom aplikaciji koju otklanjate. Čitajte red slijeva nadesno: odredište, mrežni prolaz, uređaj, protokol i metrika.

Zatim pitajte kernel koju bi rutu zapravo koristio. Zaštićena adresa je bolja sonda od javne:

ip route get 10.20.5.7

Promijenite vlasnika, a ne simptom

Kada je vlasnik poznat, promjena pripada tom vlasniku. Uklonite rutu iz profila klijenta, ispravite poslanu rutu na serveru ili uredite vezu mrežnog upravitelja umjesto da dodajete konkurentnu trajnu rutu koja pobjeđuje po metrici. Dva pravila koja se međusobno bore stvaraju tabelu koju kasnije niko ne može objasniti.

Zadržite izuzetak krajnje točke. Ruta do hosta koja šalje vlastitu javnu adresu VPN servera kroz fizički mrežni prolaz je ono što održava vanjske tunelske pakete u pokretu; izbrišite je i tunel će pokušati nositi sam sebe. U split-tunnel profilu ista briga vrijedi za lokalne podmreže koje treba zaobići tunel.

Ponovo se povežite i provjerite oba puta

Ponovo se povežite, zatim provjerite oba odredišta u jednom prolazu. Zaštićena adresa i izuzeta krajnja točka odgovaraju na različita pitanja:

ip route get 10.20.5.7
ip route get 198.51.100.20

Prva bi se trebala razriješiti kroz tunelski interfejs, a druga kroz fizički mrežni prolaz. Ako se obje razriješe kroz tunel, izuzetak nedostaje; ako nijedna, promjena profila nije stupila na snagu i gledate drugog vlasnika nego što ste mislili.

Zapišite svrhu rute, njenog vlasnika i koliko dugo treba živjeti. Ta bilješka je ono što sprječava sljedeću osobu da ponovi isti ciklus brisanja i ponovnog povezivanja.

Povezani članci