VPN кардары сиз кошкон маршрутту өчүрөбү? Саясат таблицасын колдонуңуз

Кардар өзүнүн маршруттарын кайра бекемдейт, ошондуктан кол менен кошулган жазуу секунддардын ичинде жок болот. Өзгөчөлүктү жеңүүчү эреже артыкчылыгы бар саясат таблицасына салыңыз.

Лабораториялык принтер үчүн бир /24 эки ip route show чакыруусунун ортосунда жок болот, ал эми кардардын журналы тармак өзгөрдү деп гана айтат. Буйрукта, префиксте же укуктарыңызда эч нерсе туура эмес болгон жок. Хосттун маршруттоо моделине ээ корпоративдик кардар, кимдир бирөө аны оңдогон сайын ошол моделди кайра бекемдейт, ошондуктан сиз кошкон жазуу басып кирүүчү катары жок кылынат. Ошол эле таблицада ага каршы күрөшүү утулган позиция. Чечим — ошол таблица үчүн атаандаштыкты толугу менен токтотуп, өзгөчөлүктү монитор эч качан карабаган жерге коюу.

Монитор жоголгон маршрутту түшүндүрөт

Бир нерсени кайра долбоорлоодон мурун муну көрсөтүңүз: таблицаны окуңуз, префиксти кошуңуз, бир нече секунд күтүңүз, кайра окуңуз. Эгер жазуу жок болсо жана аны жок кылуу үчүн эч нерсе тербесеңиз, бир агент байкап турат. Ушундай жүрүм-турумга ээ процессти таап, маршрут жоголгон учурдун айланасындагы журналын окуңуз, анткени адатта ошол эле кызмат туннелди, пакет фильтрлерин жана resolver конфигурациясын кармайт. Маршрутуңуз калышы үчүн аны өлтүрүү — кийинки кайра туташууда өкүнө турган соода.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Жогорудагы префикс жана интерфейс — орун толтургучтар. Интерфейстин атын башка машинадагы иштеген мисалдан көчүрүү — бул демонстрациянын такыр эч нерсе бербешинин эң кеңири тараган себеби.

Экинчи таблица мониторго көрүнбөйт

Агент өзүнө таандык таблицаны гана кайра курат. Өзгөчөлүккө өз таблицасын жана дал келген багыттарды ошол жакка жиберүүчү эрежени бериңиз, ошондо негизги таблица эч качан өзгөрбөйт, демек агентке оңдоого эч нерсе калбайт. Бүт идея ушунда: башка бирөө кармаган маршруттардын бир ат мейкиндиги жана сиз гана тийген экинчиси.

Соода — бул тейлөө. Эки объект бири-биринен алысташы мүмкүн, жана эреженин тизмедеги орду ал тандаган таблицанын ичиндеги маршрут сыяктуу эле маанилүү.

Өзгөчөлүктү куруп, анан аны жеңишке жеткириңиз

Таблицаны түзүңүз, маршрутту орнотуңуз жана ошол багыт үчүн таблицаны тандаган эреже кошуңуз. Артыкчылык сиздин эрежеңиз кардар киргизген эрежелерден мурун же кийин караларын аныктайт, ал эми кийинрээк иреттелген эрежеге эч качан жетпейт, ошондуктан сан жасалга эмес, долбоордун бөлүгү. Анан ядродон анын иш жүзүндө эмне кыларын сураңыз, бул сиз конфигурациялагандан башка суроо.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get ядро колдоно турган маршрутту чечет, анын ичинде түзмөк жана булак дареги. Ал таблицанын идентификаторун басып чыгарбайт, ошондуктан ip rule show менен жупташтырыңыз, кайсы таблица жеңгенин ырастоо керек болгондо. Чогуу алар жалгыз маанилүү суроого жооп берет: ошол дарекке трафик сиз көздөгөн жерден чыгабы?

Ошол эле идеянын башка формалары

Багыттар менен ойлонууну токтоткондо үлгү жалпыланат. Туннель демейки маршрутту кармап турганда жергиликтүү ички тармак жеткиликтүү бойдон кала алат. LANга туташкан SSH серверинин жооптору туннелде жоголуунун ордуна келген интерфейсинен чыга алат. Ал эми интерфейске негизделген эреже зымсыз интерфейске келгендин баарын туннелге түртүп, хосттун өзү жараткан трафик Ethernetте кала алат:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Акыркы учур багытка эмес, кирүү интерфейсине дал келет, бул башка эреже түрү жана башка ой жүгүртүү модели. Жөнөтүлүүчү трафикке net.ipv4.ip_forward күйгүзүлүшү да керек, ал эми алыскы тарап булак диапазонун кайра маршрутташы же которушу керек; бир машинадагы эреже жолдун экинчи жарымын эч качан жаратпайт.

Эрежени бир жолу колдонулуучу деп караңыз

Эрежелер жана таблица маршруттары эстутумда жашайт. Кайра туташкандан кийин туннель түзмөгүнүн аты өзгөрүшү, дайындалган дарек жылышы мүмкүн, ал эми эски маанини кармаган эреже үнсүз дал келүүнү токтотот. Бүт өзгөртүүнү ага ээ болгон бир скрипттен кайра колдонуңуз, анан өзгөчөлүккө ишенүүдөн мурун ip rule show, учурдагы түзмөк атын жана жаңы ip route get-ти реалдуу багытка каршы кайра текшериңиз.

Канчалык этият болсоңуз да, эки чек ара сакталат. Кардар дагы эле өзүнүн фильтр эрежелерин жана resolver конфигурациясын көзөмөлдөйт, ал эми маршруттоо өзгөчөлүгү экөөнү тең алмаштырбайт. Эгер кардар сиздин саясат эрежеңизди да өчүрсө, колдоого алынган жолдор — анын өзүнүн бөлүнгөн туннель саясаты же OpenConnect сыяктуу маршруттарды башкарууга уруксат берген кардар; өндүрүүчүнүн бинардыгын анын мониторун тынчтандыруу үчүн патчтоо — бүтүндүк текшерүүсү менен кошо берилген тейлөө милдети.

Таблица номерин, артыкчылыкты жана багытты скрипттин жанындагы жазууга жазыңыз. Болбосо кийинки адам туннелден ашкан эрежени таап, эмне үчүн экенин билүүгө эч мүмкүнчүлүгү болбойт.

Тектеш макалалар