Tóm VPN-tafla hindrar ekkert af sjálfu sér

Stefnuregla sendir merktar pakkar í sérstaka töflu, og venjuleg vænting er að tap á VPN-leiðinni hindri þá. Kerfið gerir eitthvað annað. Þegar tafla inniheldur enga samsvarandi leið, leitin heldur áfram að næstu reglu í stað þess að stöðvast, og taflan main heldur enn venjulegri sjálfgefinni leið fyrir uplink. Niðurstaðan er uppsetning sem lítur út eins og fail-closed en hagar sér eins og fail-open.

Ekkert er bilað; svona er stefnubundið leiðarval skilgreint.

Leitin heldur áfram þegar tafla hefur ekkert

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Taktu þessa reglusafn: merkt leit fer í töflu 42, og síðari regla sendir sama merki í töflu að nafni default. Svo lengi sem tafla 42 heldur nothæfri sjálfgefinni leið, veitir fyrsta leitin slóðina. Þegar sú leið hverfur og ekkert annað í töflu 42 passar, verður leitin ekki að fráhendingu; vinnslan fer áfram að næstu reglu, og þegar hún finnur ekkert heldur nær hún töflunni main. Ekkert í þeirri röð tilkynnir hvaða regla gaf lokasvarið, svo tenging sem virkar lítur út eins og stefna sem virkar.

Tafla 253, sem venjulega er kölluð default, er venjuleg leiðarvölutafla og er yfirleitt tóm. Nafn hennar er ekki fyrirmæli um að henda pökkum, og það er ekki það sama og sjálfgefin áfangaleið inni í töflu.

Lokaaðgerðir enda leitina

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Lokaregla getur fylgt VPN-leitinni í stað leitar í tómri töflu. Með sama merki endar prohibit-aðgerð, sem er sett á eftir reglu töflu 42, leitina þegar sú tafla gefur ekkert, og skilar stjórnsýslulegri synjun í stað þess að bjóða töflunni main annað tækifæri. Unreachable og blackhole eru líka lokaaðgerðir, með annarri villhegðun fyrir sendandann.

Leið af gerðinni throw er öðruvísi: innan þeirrar töflu hagar hún sér eins og ekkert hafi passað, svo síðari reglur fá samt sína röð. Það gerir throw gagnlegt fyrir viljandi afturhvarf og rangt sem lokablokk.

Staðfestu með raunverulega merkinu og viðmótinu

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Skoðaðu raunverulegu reglurnar og töfluna í stað skýringarmyndar, og spurðu svo flæðið með því upprunar-, merkis- og inngangssamhengi sem það hefur í raun. Leit sem er aðeins til lestrar og beinist að áfangastað, þar sem upprunaaðstaða, viðmót og merki er gefið, tilkynnir leiðina sem kjarninn myndi velja án þess að pakki fari. Að gefa merki í fyrirspurninni sannar ekki að eldveggurinn merki raunverulega umferð; það er sérstök athugun á merkingarreglunum. Staðfestu gildið með teljara eða loggi áður en þú dregur ályktanir af fyrirspurninni.

Beiðnir sem myndast á staðnum þurfa eigið samhengi, því merkingarleið þeirra er oft önnur en leið framsendrar umferðar. Athugaðu þær með úttaksviðmótinu sem forritið myndi í raun nota.

Tvö bilunartilvik, ekki eitt

Eitt bilunartilvik er að VPN-leiðin hverfur og umferðin fellur niður á uplink. Dauð göng þar sem leiðin helst uppsett eru annað: pakkar haldast beint inn á ónothæfa slóð í stað þess að falla, og einkennið er hljóðlaust tap í stað sýnilegrar beinnar tengingar. Prófaðu bæði, og einnig hegðun við ræsingu, endurtengingu og stöðvun þjónustu.

Slík regla hjálpar aðeins meðan hún er til og meðan pakkar bera enn merkið sem velur hana. Slökkvuskript sem eyðir reglunni, eða slóð sem fjarlægir merkið, endurheimtir opnu hegðunina. Þessar umskiptingar eru þess virði að æfa.

Beittu stefnunni á IPv6 sérstaklega og haltu samþykktum undantekningum endapunkta skýrum í stað óbeinum.