VPN трафигинде саясат негизиндеги маршруттоо эмнени өзгөртөт, эмнени өзгөртпөйт

Саясат негизиндеги маршруттоо көйгөйлөрдү жоюу боюнча жазуулардын көбү койгон суроодон башка суроого жооп берет. Негизги таблица багыыт кайда бараарын айтат; саясат эрежелери кайсы таблицага такыр кайрылаарын айтат жана аны булак дареги, пакет белгиси, же пакет келген интерфейс боюнча чече алышат. Туннель өзүн ыраатсыз алып жүрсө, эрежелер жыйындысы көп учурда себеп болот, ал эми маршруттоо таблицасы көп учурда эмес.

Эрежелер таблицаны тандайт, андан кийин таблица маршрутту тандайт

Ар бир эреженин артыкчылыгы, дал келүү шарты жана максаттуу таблицасы бар. Ядро эрежелерди артыкчылык тартибинде өткөрүп, биринчи дал келүүдө токтойт, андан кийин ошол таблицада кадимки эң узун префиксти издөөнү аткарат. Бош таблицага шилтеген эреже кийинки эреже тандаган нерсеге түшүп кетет, жана кылдат жазылган эреже эч нерсе кылбайт окшоп көрүнүшү ушундан.

Ошондуктан негизги таблицаны чыгаруу иштеп жаткан VPN кардарын сейрек түшүндүрөт. Кардарлар эрежелерди адатта төмөн артыкчылык сандарына, негизги таблицанын демейки эрежесинен алда канча мурун кошот, ошондуктан пакет сиз карап турган маршрутка эч качан жетпейт. Негизги таблицадагы метриканы төмөндөтүү мурун эле бурулган трафик үчүн эч нерсени өзгөртпөйт.

Эреже префиксти атайын кара көңдөйгө же жетүүгө мүмкүн эмес кылып да коё алат. Кээ бир кардарлар ушундай эрежени коопсуздук ажыраткычы катары кошот, ошондо түшүү конфигурацияланган туннель эмес, бузулган туннель сыяктуу көрүнөт.

Эрежелер жыйындысын тизме катары эмес, ырааттуулук катары окуңуз

Эрежелерди артыкчылыктары жана алар шилтеген таблицалар менен чыгарыңыз, андан кийин демейки же туннель маршруту бар ар бир таблицаны чыгарыңыз. Маанилүү бөлүк — тартип, жана экран сүрөтү адатта ушул бөлүктү түшүрүп калтырат:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Акыркы эки буйрук теорияны байкоого айландырат, анткени алар төмөнкүнү сурашат ядро ошол булак жана ошол белги үчүн эмне кылат эле. Эгер белги өзгөргөндө жооп өзгөрсө, белгиге негизделген эреже иштеп жатат жана белгини эске албаган ар кандай сынак башка пакетти текшерет. Сырткы байланыш өзүнүн өз эрежесине татыктуу. Бардык трафикти өзү аркылуу маршруттаган туннель өзү туташкан акыркы чекит дарегин чыгарып салышы керек, болбосо шифрленген пакеттер жаңы эле таштап кеткен туннелге кайра жөнөтүлөт. Кардарлардын көбү бул өзгөчөлүктү автоматтык түрдө кошот, ал эми кол менен оңдолгон эрежелер жыйындысы — ал жоголгон жер.

Белгилер жана сокеттер: кардарлар трафикти бөлүүнүн эки жолу

Кээ бир кардарлар пакеттерди firewall ичинде белгилеп, белгиге дал келген эреже кошот. Башкалары сокет деңгээлиндеги маршруттоону колдонуп, туташуудан мурун сокетке маршрут коюшат. Биринчиси ip rule чыгымында көрүнөт; экинчиси көрүнбөйт жана жалпы издөөдө пайда болбойт.

Эгер сынак программасы өзү көрсөтүшү керек болгон колдонмодон башкача алып жүрсө, колдонмо белги коёбу же түзмөккө байланабы, аны текшериңиз. Механизм аталгандан кийин бул айырма жашыруун эмес, жана ал эмне үчүн бир эле машинада shell'ден curl жана браузердин өтмөгү башка жолдорду тандашы мүмкүн экенин түшүндүрөт. Эки ыкма тең кең мааниде саясат негизиндеги маршруттоо: алар жолду багыыттан башка нерсе менен тандашат. Алардын экөө тең трафикке уруксат бербейт жана экөө тең өнөктөш күткөн firewall эрежелерин же каттоо маалыматтарын алмаштырбайт.

Дагы бир эреже кошуудан мурун ээликти изилдеңиз

Эрежелерди бир нерсе орнотот. VPN кардары, тармак менеджери жана кол менен жазылган скрипт ар бири ишке кирүүдө эреже кошо алат, ал эми кайра туташуу логикасы мурунку жыйындыны артта калтырышы мүмкүн. Мурунку профилден калган эки эскирген эреже профиль жок кылынгандан көп убакыт өткөндөн кийин да трафикти багыттай берет.

Кайсы процесс эрежеге ээ экенин анын артыкчылыгы жана формасы боюнча таап, ошол ээ ар бир туташууда жыйынды кайра жазабы, аны текшериңиз. Эгер жазса, бүгүн кошулган кол эрежеси эртең жоголот, ал эми оңдоо shell тарых файлында эмес, кардардын конфигурациясында болушу керек. Сынак үчүн бүт эрежелер жыйындысын тазалоо — болжолдуу баасы бар азгырма жол: ал кардарга өз туннелин иштетүү үчүн керек болгон эрежелерди да алып салат. Эрежелерди бирден жок кылыңыз же кайра жүктөй алган машинада сынаңыз.

Аймакты бир эмес, эки агым менен далилдеңиз

Оңдоо таасир тийиши керек болгон агым жана тийбеши керек болгон агым менен гана текшерилет. Саясат туннелге багыттаган багыытты жана сыртта калышы керек болгон бирин тандап, андан кийин экөө үчүн издөөлөрдү жана кармоолорду салыштырыңыз:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Эки издөө ар башка интерфейстерди кайтарса, эреже бир нерсе кылып жатат. Алар бирдей интерфейсти кайтарса, эреже көздөлгөндөн кененирээк дал келет, жана бул бир колдонмого арналган туннел аркылуу бүт ички тармакты унчукпай жөнөткөн бузулуу.

Эрежелердин артыкчылыктарын жана ээ кызматты эки сынак дареги менен бирге билетке жазыңыз. Ошондо кийинки адам симптомдун сүрөттөмөсүнүн ордуна кайталануучу жуп алат жана саясат негизиндеги маршруттоонун дагы эле күчүндө экенин бир мүнөттүн ичинде айта алат.