Бос VPN кестесі өздігінен ештеңені бөгемейді
Сәйкес маршруты жоқ саясат кестесі пакеттерді тастамайды; іздеу жалғасады. Терминалдық әрекет қосып, содан кейін екі ақау күйін де тексеріңіз.
Саясат ережесі белгіленген пакеттерді арнайы кестеге жібереді, ал әдеттегі күту — VPN маршруты жоғалғанда олардың бөгелуі. Механизм басқаша жасайды. Кестеде сәйкес маршрут болмаған кезде, іздеу келесі ережеге жалғасады тоқтаудың орнына, және main кестесі әлі де uplink үшін қарапайым әдепкі маршрутты ұстайды. Нәтиже — fail-closed болып көрінетін, бірақ fail-open болып әрекет ететін конфигурация.
Ештеңе бұзылмаған; саясатқа негізделген маршруттау осылай анықталған.
Кестеде ештеңе болмаса, іздеу жалғасады
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 lookup default 32766: from all lookup main
Осы ережелер жинағын алыңыз: белгіленген іздеу 42 кестесіне барады, ал кейінгі ереже сол белгіні default атты кестеге жібереді. 42 кестесінде жарамды әдепкі маршрут болғанша, бірінші іздеу жолды береді. Сол маршрут жоғалғанда және 42 кестесінде басқа ештеңе сәйкес келмесе, іздеу тастауға айналмайды; өңдеу келесі ережеге өтеді, ал ол да ештеңе таппаса, main кестесіне жетеді. Бұл тізбекте ештеңе қай ереженің түпкілікті жауап бергенін хабарламайды, сондықтан жұмыс істеп тұрған қосылым жұмыс істеп тұрған саясат сияқты көрінеді.
253 кестесі, әдетте default деп аталады, қарапайым маршруттау кестесі және әдетте бос болады. Оның аты пакеттерді тастауға бұйрық емес және кесте ішіндегі әдепкі мақсаттық маршрутпен бірдей емес.
Терминалдық әрекеттер іздеуді аяқтайды
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 prohibit 32766: from all lookup main
Терминалдық ереже VPN іздеуінен кейін бос кестені іздеудің орнына келе алады. Сол белгімен, 42 кестесінің ережесінен кейін орналастырылған prohibit әрекеті сол кесте ештеңе бермегенде іздеуді аяқтайды және main кестесіне тағы бір мүмкіндік берудің орнына әкімшілік бас тартуды қайтарады. Unreachable мен blackhole да терминалдық, жіберуші үшін басқа қате мінез-құлқымен.
throw түріндегі маршрут өзгеше: сол кестенің ішінде ол ештеңе сәйкес келмегендей әрекет етеді, сондықтан кейінгі ережелер әлі де өз кезегін алады. Бұл throw-ды әдейі қайта оралу үшін пайдалы және түпкілікті блок ретінде қате етеді.
Нақты белгі мен интерфейспен тексеріңіз
ip -4 rule show ip -4 route show table 42 ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36
Диаграмманың орнына нақты ережелер мен кестені қарап шығыңыз, содан кейін ағынды оның шынымен бар көзі, белгісі және кіру контекстімен сұраңыз. Мақсатқа бағытталған, көз мекенжайы, интерфейс және белгі берілген тек оқуға арналған іздеу пакет шықпай-ақ ядро таңдайтын маршрутты хабарлайды. Сұрауда белгі беру firewall-дың нақты трафикті белгілейтінін дәлелдемейді; бұл белгілеу ережелерін бөлек тексеру. Сұраудан қорытынды жасамас бұрын мәнді санауышпен немесе журналмен растаңыз.
Жергілікті түрде жасалған сұрауларға өз контексті қажет, өйткені олардың белгілеу жолы жиі жіберілетін трафиктің жолынан ерекшеленеді. Оларды қолданба шынымен пайдаланатын шығыс интерфейсімен тексеріңіз.
Екі ақау күйі, біреуі емес
Бір ақау күйі — VPN маршрутының жоғалуы және трафиктің uplink-ке түсуі. Маршруты орнатылып қалған өлі туннель — басқа күй: пакеттер түсудің орнына жарамсыз жолға бағытталып қалады, ал симптом көрінетін тікелей қосылым емес, тыныш жоғалту. Екеуін де тексеріңіз, сондай-ақ іске қосу, қайта қосылу және қызметті тоқтату мінез-құлқын.
Мұндай ереже тек ол бар болғанша және пакеттер оны таңдайтын белгіні әлі алып жүргенше көмектеседі. Ережені жоятын өшіру скрипті немесе белгіні алып тастайтын жол ашық мінез-құлықты қалпына келтіреді. Бұл ауысуларды жаттығуға тұрарлық.
Саясатты IPv6-ға бөлек қолданыңыз және бекітілген соңғы нүкте ерекшеліктерін жасырын емес, айқын ұстаңыз.