VPN клиенті сіз қосқан маршрутты жояды? Саясат кестесін пайдаланыңыз

Клиент өзіне тиесілі маршруттарды қайта бекітеді, сондықтан қолмен қосылған жазба секундтарда жоғалады. Ерекшелікті жеңетін ереже басымдығы бар саясат кестесіне қойыңыз.

Зертханалық принтер үшін бір /24 екі ip route show шақыруы арасында жоғалады, ал клиент журналы тек желі өзгергенін айтады. Пәрменде, префиксте немесе құқықтарыңызда ешқандай қате жоқ еді. Хосттың маршруттау моделіне ие корпоративтік клиент, біреу оны өңдеген сайын сол модельді қайта бекітеді, сондықтан сіз қосқан жазба басып кіруші ретінде жойылады. Сол кестеде онымен күресу ұтылған позиция. Шешім — сол кесте үшін бәсекені толығымен тоқтатып, ерекшелікті монитор ешқашан қарамайтын жерге қою.

Монитор жоғалған маршрутты түсіндіреді

Бірдеңені қайта жобаламас бұрын мұны көрсетіңіз: кестені оқыңыз, префиксті қосыңыз, бірнеше секунд күтіңіз, қайта оқыңыз. Егер жазба жоқ болса және оны жою үшін ештеңе термесеңіз, бір агент бақылап тұр. Осы мінез-құлыққа ие процесті тауып, маршрут жоғалатын сәттің айналасындағы журналын оқыңыз, өйткені сол қызмет әдетте туннельді, пакет сүзгілерін және resolver конфигурациясын ұстайды. Маршрутыңыз қалу үшін оны өлтіру — келесі қайта қосылуда өкінетін сауда.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Жоғарыдағы префикс пен интерфейс — толтырғыштар. Интерфейс атауын басқа машинада жұмыс істейтін мысалдан көшіру — бұл демонстрацияның мүлдем ештеңе бермеуінің ең көп таралған себебі.

Екінші кесте мониторға көрінбейді

Агент тек өзіне тиесілі кестені қайта құрады. Ерекшелікке өз кестесін және сәйкес мақсаттарды сол жаққа жіберетін ережені беріңіз, сонда негізгі кесте ешқашан өзгермейді, сондықтан агентке түзететін ештеңе қалмайды. Бүкіл идея осы: біреу ұстайтын маршруттардың бір ат кеңістігі және тек сіз тиетін екіншісі.

Сауда — бұл қызмет көрсету. Екі нысан бір-бірінен алшақтауы мүмкін, және ереженің тізімдегі орны ол таңдайтын кесте ішіндегі маршрут сияқты маңызды.

Ерекшелікті құрып, содан кейін оны жеңдіріңіз

Кестені жасаңыз, маршрутты орнатыңыз және сол мақсат үшін кестені таңдайтын ереже қосыңыз. Басымдық сіздің ережеңіз клиент кіргізген ережелерге дейін немесе кейін қаралатынын анықтайды, ал кейінірек сұрыпталған ережеге ешқашан жетпейді, сондықтан сан безендіру емес, дизайнның бөлігі. Содан кейін ядродан оның іс жүзінде не істейтінін сұраңыз, бұл сіз конфигурациялағаннан басқа сұрақ.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get ядро пайдаланатын маршрутты шешеді, оның ішінде құрылғы мен бастапқы адрес. Ол кесте идентификаторын басып шығармайды, сондықтан ip rule show-пен жұптаңыз, қай кесте жеңгенін растау қажет болғанда. Бірге олар жалғыз маңызды сұраққа жауап береді: сол адреске трафик сіз көздеген жерден шыға ма?

Сол идеяның басқа формалары

Мақсаттармен ойлауды тоқтатқаннан кейін үлгі жалпыланады. Туннель әдепкі маршрутты ұстап тұрғанда жергілікті ішкі желі қолжетімді болып қала алады. LAN-ға қосылған SSH серверінің жауаптары туннельде жоғалудың орнына келген интерфейсінен шыға алады. Ал интерфейске негізделген ереже сымсыз интерфейске келгеннің бәрін туннельге итере алады, ал хосттың өзі жасайтын трафик Ethernet-те қалады:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Соңғы жағдай мақсатқа емес, кіріс интерфейсіне сәйкес келеді, бұл басқа ереже түрі және басқа ойлау моделі. Жіберілетін трафикке net.ipv4.ip_forward қосылуы да қажет, ал алыс жақ бастапқы диапазонды кері маршруттауы немесе аударуы керек; бір машинадағы ереже жолдың екінші жартысын ешқашан жасамайды.

Ережені бір реттік деп қараңыз

Ережелер мен кесте маршруттары жадта өмір сүреді. Қайта қосылғаннан кейін туннель құрылғысының аты өзгеруі, тағайындалған адрес жылжуы мүмкін, ал ескі мәнді ұстаған ереже үнсіз сәйкестігін тоқтатады. Бүкіл өзгерісті оған ие бір скрипттен қайта қолданыңыз, содан кейін ерекшелікке сенбес бұрын ip rule show, ағымдағы құрылғы атын және жаңа ip route get-ті нақты мақсатқа қарсы қайта тексеріңіз.

Қаншалықты мұқият болсаңыз да, екі шекара сақталады. Клиент әлі де өз сүзгі ережелерін және resolver конфигурациясын басқарады, ал маршруттау ерекшелігі екеуін де алмастырмайды. Егер клиент сіздің саясат ережесін де жойса, қолдау көрсетілетін жолдар — оның өзінің бөлінген туннель саясаты немесе OpenConnect сияқты маршруттарды басқаруға мүмкіндік беретін клиент; өндірушінің бинарлығын оның мониторын тыныштандыру үшін патчтау — тұтастық тексерісі қоса берілген қызмет көрсету міндеттемесі.

Кесте нөмірін, басымдықты және мақсатты скрипттің жанындағы жазбаға жазыңыз. Әйтпесе келесі адам туннельден басым ереже тауып, себебін білуге еш мүмкіндік таба алмайды.

Қатысты мақалалар