Бош VPN таблицасы өзү эч нерсени тоспойт
Туура келген маршруту жок саясат таблицасы пакеттерди таштабайт; издөө уланат. Терминалдык аракет кошуп, анан эки бузулуу абалын текшериңиз.
Саясат эрежеси белгиленген пакеттерди өзүнчө таблицага жөнөтөт, жана адаттагы күтүү — VPN маршруту жоголгондо алардын тосулушу. Механизм башкача иштейт. Таблицада туура келген маршрут болбосо, издөө кийинки эрежеге уланат токтоонун ордуна, жана main таблицасы uplink үчүн кадимки демейки маршрутту дагы эле кармап турат. Натыйжа — fail-closed болуп көрүнгөн, бирок fail-open болуп иштеген конфигурация.
Эч нерсе бузулган жок; саясатка негизделген маршруттоо ушундай аныкталган.
Таблицада эч нерсе болбосо, издөө уланат
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 lookup default 32766: from all lookup main
Ушул эрежелер жыйнагын алыңыз: белгиленген издөө 42 таблицасына барат, ал эми кийинки эреже ошол эле белгини default аттуу таблицага жөнөтөт. 42 таблицасында пайдаланууга жарактуу демейки маршрут болгонго чейин, биринчи издөө жолду берет. Ошол маршрут жоголгондо жана 42 таблицасында башка эч нерсе туура келбесе, издөө таштоого айланбайт; иштетүү кийинки эрежеге өтөт, ал да эч нерсе таппаса, main таблицасына жетет. Бул ырааттуулукта эч нерсе кайсы эреженин акыркы жооп бергенин билдирбейт, ошондуктан иштеп жаткан байланыш иштеп жаткан саясат сыяктуу көрүнөт.
253 таблицасы, адатта default деп аталат, кадимки маршруттоо таблицасы жана адатта бош болот. Анын аталышы пакеттерди таштоого буйрук эмес жана таблицанын ичиндеги демейки багыт маршруту менен бирдей эмес.
Терминалдык аракеттер издөөнү бүтүрөт
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 prohibit 32766: from all lookup main
Терминалдык эреже VPN издөөсүнөн кийин бош таблицаны издөөнүн ордуна келе алат. Ошол эле белги менен, 42 таблицасынын эрежесинен кийин жайгашкан prohibit аракети ошол таблица эч нерсе бербегенде издөөнү бүтүрөт жана main таблицасына дагы бир мүмкүнчүлүк берүүнүн ордуна административдик баш тартууну кайтарат. Unreachable жана blackhole да терминалдык, жөнөтүүчү үчүн башка ката жүрүм-туруму менен.
throw түрүндөгү маршрут башкача: ошол таблицанын ичинде ал эч нерсе туура келбегендей иштейт, ошондуктан кийинки эрежелер дагы эле өз кезегин алышат. Бул throw-ду атайын артка кайтуу үчүн пайдалуу жана акыркы блок катары туура эмес кылат.
Чыныгы белги жана интерфейс менен текшериңиз
ip -4 rule show ip -4 route show table 42 ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36
Диаграмманын ордуна чыныгы эрежелерди жана таблицаны карап чыгыңыз, анан агымды анын чындап ээ болгон булагы, белгиси жана кирүү контексти менен сураңыз. Багытка багытталган, булак дареги, интерфейс жана белги берилген окууга гана арналган издөө пакет чыкпай эле ядро тандай турган маршрутту билдирет. Сурамда белги берүү firewall чыныгы трафикти белгилей турганын далилдебейт; бул белгилөө эрежелерин өзүнчө текшерүү. Сурамдан тыянак чыгарбастан мурун маанини эсептегич же журнал менен ырастаңыз.
Жергиликтүү түзүлгөн сурамдарга өз контексти керек, анткени алардын белгилөө жолу көбүнчө өткөрүлгөн трафиктин жолунан айырмаланат. Аларды колдонмо чындап колдоно турган чыгуу интерфейси менен текшериңиз.
Эки бузулуу абалы, бирөө эмес
Бир бузулуу абалы — VPN маршрутунун жоголушу жана трафиктин uplinkке түшүшү. Маршруту орнотулуп калган өлүк туннель — башка абал: пакеттер түшүүнүн ордуна жараксыз жолго багытталып калат, жана симптом көрүнүп турган түз байланыш эмес, тынч жоготуу. Экөөнү тең текшериңиз, ошондой эле иштетүү, кайра туташуу жана кызматты токтотуу жүрүм-турумун.
Мындай эреже ал бар болгонго чейин жана пакеттер аны тандаган белгини алып жүргөнгө чейин гана жардам берет. Эрежени жок кылган өчүрүү скрипти же белгини алып салган жол ачык жүрүм-турумду калыбына келтирет. Бул өтүүлөрдү машыкканга татыктуу.
Саясатты IPv6га өзүнчө колдонуңуз жана бекитилген акыркы чекит бөтөнчөлүктөрүн жашыруун эмес, ачык кармаңыз.