D'Routing-Reeg liest d'Paketsmark, net conntrack

Véier Kontrollen trennen eng funktionéierend Mark-Reeg vun enger funktionéierender Route: wéi eng Mark d'Reegel liest, ob de Paket se beim Lookup nach dréit, ob eng Verbindungsmark op spéider Paketen restauréiert gouf, an ob ob d'Mask an d'Prioritéit vun der passender Reegel et erlaben ze schécken. En Zähler, dee klëmmt, beweist nëmmen, datt eng Reegel op eppes gepasst huet. Hie seet näischt driwwer, wat de Paket gedroen huet, wéi de Kernel säi Wee gewielt huet.

Déi zwou Marke liewen op verschiddene Plazen an aalen no verschiddenen Zäitpläng aus.

Zwou Marken, zwee Liewen

Eng Paketsmark gehéiert zu engem eenzegen skb, reest mat him duerch d'Hooks a gëtt vum fwmark-Selektor vum Policy-Routing verbraucht. Eng Verbindungsmark gehéiert zum conntrack-Andrag, bleift iwwer d'Pakete vun deem Flow bestoen an ass fir d'Routing-Reeg onsichtbar, bis eppes se zréckkopéiert. Eng Paketsmark an d'Verbindung späicheren ass eng Späicherung; se restauréieren ass eng eegen Aktioun. Keng vun deenen zwee geschitt vun sech aus.

Duerfir kann e Reegelset konsistent ausgesinn, während d'Routing-Entscheedung Null gesäit: de Wäert gouf gespäichert, an näischt huet en restauréiert.

Tëschent hinnen ze kopéieren ass ee Schrëtt, deen Dir schreift

Déi zwou wichteg Uweisungen lafen a géigewäerteg Richtungen: déi eng späichert d'Mark vum Paket an d'Verbindung, déi aner lued d'Mark vun der Verbindung op de Paket. Wéi eng Dir braucht, hänkt dovun of, wéini d'Klassifikatioun am Verhältnis zum Flow geschitt. En Design kann nëmmen d'Paketsmark brauchen, an d'Conntrack-Marquéierung derbäizesetzen, well eng Ëmweeung allebéid benotzt huet, ass de Wee, wéi eng einfach Politik en zweeten Ausfallmodus kritt.

ct mark set meta mark
meta mark set ct mark

Schreift d'Richtung niewent d'Reegel, well se aus der Syntax op den éischte Bléck net evident ass. Déi éischt Linn späichert, déi zweet restauréiert, an keng implizéiert déi aner.

Klassifizéiert virum Lookup, deen et verbraucht

Lokal generéierten Traffic an Traffic, deen aus engem LAN virugeleet gëtt, lafen duerch verschidden Hooks a kommen zu verschiddenen Zäitpunkten zu Routing-Entscheedungen. Eng Output-Reeg, déi fir d'Verbindunge vum Router selwer funktionéiert, beweist net, datt de Paket vun engem virugeleete Client viru sengem Lookup markéiert gouf. Setzt d'Klassifikatioun dohin, wou de Lookup, deen et verbraucht, nach net geschitt ass, a kontrolléiert, ob spéider Reegelen an der selwechter Kette de Wäert iwwerschreiwen. D'Reiefolleg bannent enger Kette ass Deel vun der Konfiguratioun, keen Implementatiounsdetail.

D'Persistenz vum Verbindungszoustand brauch och en explizite Plang. Wann nëmmen den éischte Paket vun engem Flow klassifizéiert gëtt, brauchen déi spéider Paketen d'Restauratioun vun der gespäicherter Mark, soss huelen se de Wee ouni Mark. Dat ass den Ënnerscheed tëschent enger Mark, déi eng Verbindung beschreift, an enger, déi e Paket beschreift.

Frot d'Route eng markéiert Fro

ip route get 10.77.0.10 mark 0x2

Kuckt d'Reegelen an den Table un, frot duerno d'Route mat der Mark dobäi, plus d'Quell oder d'Ingangsinterface, wann déi d'Politik beaflossen. En normale Lookup ouni Mark beäntwert eng aner Fro an erkläert Iech gären de Wee, deen Dir net wollt. Kontrolléiert d'Mask an d'Prioritéit vun der Reegel souwéi hire Wäert, a bestätegt, datt den ausgewielten Table eng brauchbar Route enthält.

En Zähler, dee klëmmt, ass de Beweis, datt eng Reegel op ee Paket gepasst huet. Et ass kee Beweis, datt de leschte Paket déi ugeduecht Mark um richtege Entscheedungspunkt gedroen huet.

Liest d'Mark, d'Richtung, den Timing an d'Mask. Véier Kontrollen, an d'Route ass kee Rätsel méi.