Az útválasztási szabály a csomag jelölését olvassa, nem a conntracket

Négy ellenőrzés választja el a működő jelölés-szabályt a működő útvonaltól: melyik jelölést olvassa a szabály, a csomag hordozza-e még a keresés pillanatában, visszaállították-e a kapcsolat jelölését a későbbi csomagokra, és hogy hogy az illeszkedő szabály maszkja és prioritása engedi-e a működését. A növekvő számláló csak azt bizonyítja, hogy valamelyik szabály illeszkedett valamire. Semmit nem mond arról, mit hordozott a csomag, amikor a kernel kiválasztotta az útvonalát.

A két jelölés különböző helyeken él, és különböző ütemtervek szerint jár le.

Két jelölés, két élettartam

A csomag jelölése egyetlen skb-hez tartozik, vele együtt halad át a horgokon, és a házirend-alapú útválasztás fwmark-választója használja fel. A kapcsolat jelölése a conntrack-bejegyzéshez tartozik, fennmarad a folyam csomagjain keresztül, és láthatatlan az útválasztási szabály számára, amíg valami vissza nem másolja. A csomag jelölésének eltárolása a kapcsolatban tárolás; a visszaállítása külön művelet. Egyik sem történik magától.

Ezért tűnhet egy szabálykészlet következetesnek, miközben az útválasztási döntés nullát lát: az érték eltárolódott, és semmi nem állította vissza.

A kettő közötti másolás olyan lépés, amelyet Ön ír meg

A két fontos utasítás ellentétes irányba fut: az egyik eltárolja a csomag jelölését a kapcsolatban, a másik betölti a kapcsolat jelölését a csomagra. Melyikre van szüksége, attól függ, mikor történik az osztályozás a folyamhoz képest. Egy tervezésnek lehet, hogy csak a csomag jelölésére van szüksége, és a conntrack-jelölés hozzáadása azért, mert egy kerülő megoldás mindkettőt használta, az az út, amelyen egy egyszerű házirend második hibaállapotra tesz szert.

ct mark set meta mark
meta mark set ct mark

Írja fel az irányt a szabály mellé, mert a szintaxisból első pillantásra nem nyilvánvaló. Az első sor tárol, a második visszaállít, és egyik sem feltételezi a másikat.

Osztályozzon a fogyasztó keresés előtt

A helyben keletkező forgalom és a LAN-ról továbbított forgalom különböző horgokon halad át, és különböző pillanatokban ér el az útválasztási döntésekhez. Egy kimeneti szabály, amely a router saját kapcsolataihoz működik, nem bizonyítja, hogy egy továbbított kliens csomagja a keresése előtt jelölést kapott. Helyezze az osztályozást oda, ahol az azt fogyasztó keresés még nem történt meg, és ellenőrizze, hogy az ugyanazon lánc későbbi szabályai felülírják-e az értéket. A láncon belüli sorrend a konfiguráció része, nem megvalósítási részlet.

A kapcsolat állapotának megőrzése is kifejezett tervet igényel. Ha egy folyamnak csak az első csomagja kap osztályozást, a későbbi csomagoknak vissza kell állítaniuk a tárolt jelölést, különben a jelöletlen útra térnek. Ez a különbség a kapcsolatot leíró jelölés és a csomagot leíró jelölés között.

Kérdezze meg az útvonalat egy megjelölt kérdéssel

ip route get 10.77.0.10 mark 0x2

Vizsgálja meg a szabályokat és a táblát, majd kérdezze le az útvonalat a jelöléssel együtt, valamint a forrással vagy a bejövő interfésszel, ha azok befolyásolják a házirendet. Egy egyszerű, jelölés nélküli keresés más kérdésre válaszol, és készségesen jelenti azt az utat, amelyet nem akart. Ellenőrizze a szabály maszkját és prioritását, valamint az értékét, és győződjön meg arról, hogy a kiválasztott tábla tartalmaz használható útvonalat.

A növekvő számláló bizonyítéka annak, hogy valamelyik szabály illeszkedett valamelyik csomagra. Nem bizonyítéka annak, hogy a végső csomag a szándékolt jelölést hordozta a megfelelő döntési ponton.

Olvassa a jelölést, az irányt, az időzítést és a maszkot. Négy ellenőrzés, és az útvonal megszűnik rejtély lenni.