Mengapa rute VPN yang dihapus kembali setelah menyambung ulang

Rute yang Anda hapus secara manual kembali setelah sambungan berikutnya, dan tabelnya terlihat persis seperti sebelumnya. Ini bukan bug perutean: sesuatu membuat ulang entri dari konfigurasi atau dari tindakan siklus hidup koneksi. Sebagian besar runbook berhenti di tabel aktif, sehingga penghapusan tampak berhasil selama satu menit lalu gagal. Identifikasi pemiliknya, ubah itu, dan buktikan saat menyambung ulang.

Siapa yang memasang rute

Mulailah dengan daftar kandidat, bukan dengan perbaikan. Profil VPN dapat membawa rutenya sendiri, server dapat mengirimnya saat terhubung, profil manajer jaringan dapat mendeklarasikannya, unit boot atau skrip dapat menambahkannya, dan implementasi IPsec memasang rute untuk pemilih lalu lintas yang dinegosiasikannya. Aturan perutean kebijakan juga dapat mengalihkan lalu lintas sepenuhnya ke tabel lain.

Waktu memisahkan mereka lebih cepat daripada arkeologi konfigurasi. Entri yang muncul saat antarmuka naik milik klien; entri yang datang satu detik kemudian biasanya berasal dari push server; entri yang ada saat boot milik konfigurasi tersimpan. Catat tabel sebelum dan sesudah koneksi, pemutusan, dan reboot, dan polanya akan menyebut pemiliknya. Rute yang hanya kembali saat layanan dimulai ulang menunjuk ke unit, bukan ke VPN.

Baca tabel sebelum mengeditnya

Lihat pandangan kernel sendiri, bukan file tersimpan. Kolom protokol menunjukkan apa yang memasang setiap entri:

ip route show
ip route show table all
ip rule show

Bidang protokol, metrik, dan nomor tabel memberi tahu Anda apakah Anda melihat entri statis, entri yang dibuat kernel, atau sesuatu yang ditambahkan daemon. Daftar aturan penting karena pencarian dapat meninggalkan tabel utama sepenuhnya, yang membuat pengeditan di sana tidak terlihat oleh aplikasi yang sedang Anda debug. Baca baris dari kiri ke kanan: tujuan, gateway, perangkat, protokol, dan metrik.

Lalu tanyakan kepada kernel rute mana yang sebenarnya akan digunakan. Alamat yang dilindungi adalah probe yang lebih baik daripada alamat publik:

ip route get 10.20.5.7

Ubah pemiliknya, bukan gejalanya

Setelah pemiliknya diketahui, perubahan menjadi milik pemilik itu. Hapus rute dari profil klien, perbaiki rute yang dikirim di server, atau edit koneksi manajer jaringan alih-alih menambahkan rute persisten pesaing yang menang berdasarkan metrik. Dua aturan yang saling bertarung menghasilkan tabel yang tidak dapat dijelaskan siapa pun nanti.

Pertahankan pengecualian titik akhir. Rute host yang mengirim alamat publik server VPN itu sendiri melalui gateway fisik adalah yang menjaga paket terowongan luar tetap mengalir; hapus itu, dan terowongan mencoba membawa dirinya sendiri. Pada profil split tunnel, kehati-hatian yang sama berlaku untuk subnet lokal yang seharusnya melewati terowongan.

Sambung ulang dan verifikasi kedua jalur

Sambung ulang, lalu periksa kedua tujuan dalam satu kali jalan. Alamat yang dilindungi dan titik akhir yang dikecualikan menjawab pertanyaan berbeda:

ip route get 10.20.5.7
ip route get 198.51.100.20

Yang pertama harus diselesaikan melalui antarmuka terowongan dan yang kedua melalui gateway fisik. Jika keduanya diselesaikan melalui terowongan, pengecualiannya hilang; jika tidak ada, perubahan profil tidak berlaku dan Anda melihat pemilik yang berbeda dari yang Anda kira.

Catat tujuan rute, pemiliknya, dan berapa lama rute itu harus hidup. Catatan itulah yang mencegah orang berikutnya mengulangi siklus hapus-dan-sambung-ulang yang sama.