OpenVPN маршрут метрикасы: тандалган маршрут эмне үчүн дагы эле жеңилет

Сиз профилдеги маршрутка метрика кошуп, кайра туташтыңыз, бирок трафик дагы эле туура эмес интерфейс аркылуу чыгып жатат. Маселе сейрек санда болот. Метрика операциялык система салыштырып жаткан талапкерлерди гана иреттейт, ал эми тактараак префикс же эртерек саясат таблицасы кандайдыр бир метрика окулганга чейин эле чечет.

Алгач профилди, анан орнотулган таблицаны, акырында тандоо эрежелерин карап чыгыңыз. Бул тартип кардардын маршрутту кантип түзөрүнө туура келет жана салыштырууга эч качан кирбеген маанини жөндөөдөн сактайт.

Маршрут сабын талаа тартиби менен окуңуз

Community OpenVPN 2.6 кардары IPv4 route сабында төрт талааны кабыл алат: тармак, маска, шлюз жана милдеттүү эмес метрика. Шлюз ордуна атайын vpn_gateway ачкыч сөзү коюлат. Ал ушул туташуу үчүн VPN тараптагы кийинки секирик дегенди билдирет, маршруттоо таблицасынын номери эмес жана физикалык роутериңиз эмес. Муну түшүнбөсөңүз, саптын калган бөлүгү анын эмне кылаары тууралуу туура эмес түшүнүк менен окулат. network-options шилтемеси төрт талаанын баарын сүрөттөйт.

Жеке дарек үчүн сап мындай болушу мүмкүн:

route-metric 50
route 172.20.0.0 255.255.0.0 vpn_gateway 30

Так 30 ошол маршрутка колдонулат, ал эми 50 профилде номер көрсөтүлбөгөн калган бардык маршруттар үчүн демейки маани бойдон калат. Сапты солдон оңго окуу кайсы маани кайда колдонулаарын айтууга жетиштүү.

route-metric — демейки, даража эмес

route-metric өз номери жок маршруттар үчүн камдык маанини конот. Ал маршрутту башка нерседен жогору койбойт жана так метрикалар менен орнотулган маршруттарды кайра иреттебейт.

Бул айырма профиль эки форманы аралаштырганда маанилүү. Жогору жактагы жалгыз route-metric сабы барктуу көрүнөт жана аны күнөөлөө оңой, ал эми трафикти чындыгында ташыган маршрут үч сап төмөндө өз метрикасын алып жүрүшү мүмкүн.

Бир маршрут белгилүү бир жолду артык көрсүн десеңиз, номерди ошол маршрутка коюңуз. Түзүлгөн профилде туруктуу демейки маани керек болсо, route-metric колдонуп, жеке саптарды тийбеңиз. Себепсиз экөөнү аралаштыруу — профилдин эч ким түшүндүрө албаган маршрутка ээ болушунун жолу.

Кардар эмне орнотконун текшериңиз

Кайра туташуу бүткөндөн кийин профилден эмес, өзөктөн сураңыз.

ip route show кардар кошкон маршруттарды тизет, ал эми ip route get 172.20.5.10 пайдалуураак суроого жооп берет: бул дарек кайсы маршрутту кайсы булак дареги менен чындыгында колдонот. Эгер дарек таблицада жок болсо, кардар аны орноткон эмес.

Жергиликтүү директива, сервердин push аракети же башка тармак менеджери ошол эле префиксти кошуп же алып салышы мүмкүн, ал эми акыркы жазган жеңет. Иш учурунда четки чекит маршрутун көз алдында кармаңыз, анткени туташууга өзү куруп жаткан туннелден өтпөгөн алыскы серверге жол керек.

Эмне үчүн кичирээк метрика дагы эле жеңилет

Метрикалар бир эле дарекке болгон маршруттарды салыштырат. Алар кенен префиксти тактарак кылбайт. redirect-gateway def1 колдонулганда кардар 0.0.0.0/1 жана 128.0.0.0/1 орнотот, жана бул эки префикс бүт IPv4 мейкиндигин 0.0.0.0/0 караганда тактараак камтыйт. Демейки маршруттагы 1 метрикасы алардан жогору тура албайт.

Ошол эле логика каалаган кабатташкан жупка тиешелүү. Ичиндеги дарек үчүн /24 /16 дан басымдуу, сандар кандай болсо да, анткени издөө эң так дал келүүнү биринчи тандайт, анан гана теңдердин арасында метрикаларды салыштырат.

Бул метрика катасына окшошуп көрүнгөн, бирок андай эмес бөлүк. Кандайдыр бир санды өзгөртүүдөн мурун эки талапкердеги префикс узундугун текшериңиз.

Саясат эрежелери таблицадан мурун иштейт

Linux'то ip rule кайсы маршруттоо таблицасы каралаарын чечет. Эрежелер артыкчылык тартибинде бааланат, ошондуктан эртерек таблица негизги таблица окулганга чейин эле маршрут кайтарышы мүмкүн. Негизгинин ичиндеги метрика биринчи каралган таблицадагы дал келүүдөн жогору тура албайт.

ip rule show колдонуп, анан белгилүү таблицаны сураңыз, мисалы ip route show table 100, ошол эреже эмне кайтарарын көрүү үчүн. VPN кардары же контейнер чөйрөсү эреже кошсо, жооп сиз окуп жаткан таблицада эмес, ошол жерде болушу мүмкүн. Булак дареги да маанилүү, анткени эреже булакка дал келип, бир эле даректи туннел трафиги менен LAN трафиги үчүн башкача чечиши мүмкүн.

Бараанды текшериңиз, даражаны эмес

Талашты бүтүргөн сыноо — көздөгөн ички тармактагы хостко бир суроо жана өзөк тандаган булак дарегин текшерүү. Эгер бул жуп долбоорго туура келсе, тизме таза даражага окшобосо да, метрика өз ишин аткарып жатат.

IPv6 менен DNS'ти бул текшерүүдөн тышкары калтырыңыз. Алар башка директивалар менен конфигурацияланат жана башка механизмдер менен чечилет, ал эми иштеп жаткан IPv4 маршруту алар тууралуу эч нерсе айтпайт. Кабатты бирден өзгөртүп, суроону кайра иштетиңиз.