Hvað stefnuleiðsla breytir um VPN-umferð og hvað ekki

Stefnuleiðsla svarar annarri spurningu en sú sem flestar villuleiðbeiningar spyrja. Aðaltaflan segir hvert áfangastaður fer; stefnureglur segja hvaða tafla er yfirhöfuð leitað í, og þær geta ákveðið það út frá upprunafanginu, pakkamerki, eða því tengi sem pakki barst á. Þegar göng hegðar sér ósamkvæmt er reglusettið oft ástæðan og leiðartöflan oft ekki.

Reglur velja töfluna, svo velur taflan leiðina

Hver regla ber forgang, skilyrði fyrir samsvörun og marktöflu. Kjarninn fer í gegnum reglurnar í forgangsröð og stöðvast við fyrstu samsvörun, framkvæmir svo venjulega leit að lengsta forskeyti í þeirri töflu. Regla sem bendir á tóma töflu dettur niður á það sem næsta regla velur, og þannig getur vandlega skrifuð regla virst gera ekki neitt.

Þess vegna útskýrir útprentun aðaltöflunnar sjaldan VPN-biðlara sem virkar. Biðlarar setja reglur venjulega inn á lágar forgangstölur, löngu fyrir sjálfgefna reglu aðaltöflunnar, svo pakkinn nær aldrei leiðinni sem þú starðir á. Lækkun mælikvarða í aðaltöflunni breytir engu fyrir umferð sem þegar var vísað annars staðar.

Regla getur líka viljandi gert forskeyti að svartholi eða óaðgengilegu. Sumir biðlarar bæta slíkri reglu við sem öryggisrofa, og þá lítur brottfallið út sem brotið göng frekar en stillt.

Lestu reglusettið sem röð, ekki sem lista

Prentaðu reglurnar með forgangsröð þeirra og töflunum sem þær vísa til, prentaðu svo hverja töflu sem ber sjálfgefna leið eða gönguleið. Röðin er sá hluti sem skiptir máli, og hann er sá hluti sem skjáskot sleppir venjulega:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Síðustu tvær skipanirnar eru þær sem breyta kenningu í athugun, því þær spyrja hvað kjarninn myndi gera fyrir þann uppruna og það merki. Ef svarið breytist þegar merkið breytist er merkjamiðuð regla í gangi og hvaða próf sem sleppir merkinu er að prófa annan pakka. Ytri tengingin á skilið sína eigin reglu. Göng sem beina allri umferð í gegnum sig verða að undanskilja endapunktsfangið sem þau tengjast, annars eru dulkóðuðu pakkarnir sendir aftur inn í göngin sem þeir voru rétt að yfirgefa. Flestir biðlarar setja þá undantekningu inn sjálfkrafa, og handbreytt reglusett er staðurinn þar sem hún vantar.

Merkingar og sæti: tvær leiðir sem biðlarar skipta umferð með

Sumir biðlarar merkja pakka í eldveggnum og bæta við reglu sem passar við merkið. Aðrir nota leiðsölu á sætisstigi og setja leið á sætið áður en það tengist. Fyrra er sýnilegt í ip rule; seinna ekki, og það mun ekki birtast í almennri leit.

Ef prófunarforrit hegðar sér öðruvísi en forritið sem það á að tákna, athugaðu hvort forritið setur merki eða bindur sig við tæki. Sá munur er ekki ráðgáta þegar búið er að nefna fyrirbærið, og hann útskýrir hvers vegna curl úr skel og vafraflipi geta farið ólíkar leiðir á sömu vél. Báðar aðferðir eru stefnuleiðsla í víðum skilningi: þær velja leið með einhverju öðru en áfangastaðnum. Hvorug þeirra heimilu umferðina, og hvorug kemur í stað eldveggjareglna eða skírteinanna sem mótaðilinn á von á.

Rekjaðu eignarhald áður en þú bætir við annarri reglu

Reglur eru settar upp af einhverju. VPN-biðlari, netstjóri og handskrifað skript geta hvert um sig bætt við reglum við ræsingu, og endurtengingarlógík getur skilið fyrra settið eftir. Tvær úreltar reglur úr fyrra prófíli halda áfram að stýra umferð löngu eftir að prófílnum var eytt.

Finndu hvaða ferli á regluna út frá forgangi hennar og lögun, og athugaðu hvort sá eigandi endurskrifi settið við hverja tengingu. Ef svo er hverfur handvirk regla sem bætt var við í dag á morgun, og lagfæringin á heima í stillingum biðlarans frekar en í skeljasöguskrá. Að hreinsa allt reglusettið til að prófa er freistandi flýtileið með fyrirsjáanlegan kostnað: það fjarlægir líka reglurnar sem biðlarinn þarf til að halda eigin göngum gangandi. Eyða einni reglu í einu, eða prófaðu á vél sem þú getur endurræst.

Sannaðu umfangið með tveimur straumum, ekki einum

Lagfæring er aðeins staðfest með straumi sem á að verða fyrir áhrifum og straumi sem á ekki að verða fyrir þeim. Veldu áfangastað sem stefnan beinir inn í göngin, og einn sem verður að vera utan við, og berðu svo saman leitirnar og gripin fyrir báða:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Þegar leitirnar tvær skila mismunandi tengjum er reglan að gera eitthvað. Þegar þær skila sama tenginu passar reglan breiðar en ætlað var, og það er bilunin sem sendir hljóðlega heilt undirnet í gegnum göng sem voru ætluð einu forriti.

Skráðu forgangsröð reglnanna og þjónustuna sem á þær í miðann, ásamt tveimur prófunarföngunum. Næsta manneskja hefur þá endurgeranlegt par í stað lýsingar á einkennum, og getur sagt innan mínútu hvort stefnuleiðsla sé enn í gangi.