D'Äntwert geet iwwer d'LAN eraus, net duerch den Tunnel: firwat a wéi

En Déngscht, deen iwwer en Gateway publizéiert gëtt, funktionéiert aus dem gréissten Deel vum Internet a fale vun engem Büro aus. Een iwwerpréift den Tunnel, gesäit d'Ufro ukommen a schléisst, datt d'Äntwert de selwechte Wee zréck muss. Linux funktionéiert net sou, an et ännert d'Äntwert net, wéi vill een den Tunnel och ënnersicht. D'Äntwert gëtt no der Destinatioun geroutet, an deen een eenzegen Uruffende, deen ausfält, sëtzt an engem Subnetz, deen den Host schon direkt erreecht.

Wat wierklech en erausgängleche Pak entscheet

De Kernel sicht eng Route fir d'Destinatioun vum Pak, consultéiert d'Politiksregelen an der Prioritéitsuerdnung an duerno den Table, deen eng passend Regel auswielt. D'Interface, op där e Pak ukomm ass, spillt keng Roll, ausser et gouf eng Regel oder eng Mark geschriwwe fir dat wichteg ze maachen. Dat ass eng Routing-Tatsaach iwwer dësen Host, keen Defekt am Tunnel.

En Ufro, deen iwwer den Tunnel kritt gëtt, kann dowéinst eng Äntwert produzéieren, déi iwwer d'physikalesch Interface erausgeet, an de Floss gëtt eenzestänneg, ouni datt en Apparat e Feeler mëldet. Préift béid Richtungen, ier Dir eng Konklusioun iwwer den Tunnel zitt. Eng Äntwert, déi déi falsch Richtung hëlt, verschwënnt aus den Tunnelzähler, a dowéinst sinn déi zwou Enner net eens, ob eppes geschéckt gouf. Notéiert, wéi en Zähler sech beweegt huet, ier Dir eng Regel beréiert.

Firwat de lokale Subnetz gewënnt

En Host mat enger Adress an engem lokale Netzwierk huet eng verbonne Route fir dee Prefix am Haapttable, an eng verbonne Route ass eng direkt Iwwereneestëmmung. Wann den Uruffende vum selwechte Subnetz kënnt, fënnt d'Sich de lokale Link, ier den Tunnel iwwerhaapt a Betruecht gezunn gëtt.

Et ass d'Asymmetrie, déi d'Diagnos verwirrend mécht. Uruffender aus dem breede Internet funktionéieren, well se op keng lokal Route passen, wärend deen een Uruffenden, deen de Büro-Prefix deelt, ausfält, an dat ass genee deen, mat deem een testt.

Peer-Ofdeckung ass net datselwecht wéi installéiert Routen

Op der Tunnelsäit beschreiwen déi erlaabt Beräicher vun engem Peer, wat an den Tunnel geschéckt ka ginn a wéi eng Quellen dovun akzeptéiert ginn. Si soen näischt doriwwer, wou den lokalen Routingtable e Pak hinschéckt.

Wann den Tunnelinstrument eng Standardroute um Host installéiert, kann et onverbonnen Traffic als Kollateralschued an den Tunnel zéien. Wou eng Politiksregel d'Entscheedung soll hunn, ass d'Optioun fir Routen ze installéieren genau dofir do, an d'Adressen, d'Schlësselen an d'Endpunkt-Astellungen bleiwen exakt wéi se waren. Eng Standardroute, déi aus Bequemlechkeet bäigefüügt gëtt, ass eng heefeg Manéier, wéi en Host säin eegene lokale Netzwierk verléiert.

Wielt den Table no der Quelladress

Eng Regel op Basis vun der Quell schéckt Äntwerten vun der Déngschtadress an en private Table, deem säin Standard den Tunnel ass, wärend alles anescht weider den Haapttable benotzt. Wielt Table- an Prioritéitsnummeren, déi lokal net benotzt ginn, a liest déi existéierend Regelen, ier Dir eppes afüügt. Liest déi lieweg Regelen amplaz vun enger gespäicherter Datei, well déi zwee sech no engem Neistart kënnen ënnerscheeden.

ip -6 route add default dev wg0 table 200
ip -6 rule add priority 32000 from 2001:db8:aa::20/128 lookup 200
ip -6 rule add priority 32001 from 2001:db8:aa::20/128 unreachable

Déi lescht Linn lässt eng feelend Route sichtbar ausfalen, amplaz op de lokale Link zréckzefalen. D'Quell muss wierklech dem Host zougewisen sinn, an déi gewéinlech lokal an Haaptsich mussen op hire fréiere Positiounen bleiwen. D'Regel wielt en Table no der Quell; si vergläicht keng Prefixlängten tëscht Tabellen.

Bestätegt de Wee, dann den Déngscht

Frot de Kernel, wat en géif maachen, amplaz aus enger Opnam ze schléissen, mat der Déngschtadress als Quelleselektor. Eng falsch Äntwert hei spuert eng ganz Pakverfolgung.

ip -6 route get 2001:db8:bb::30 from 2001:db8:aa::20

D'Ausgab soll den Tunnel nennen. Teste duerno eng Quell, déi Dir net beréiert hutt, a bestätegt, datt se nach de lokale Link hëlt, sou datt d'Ännerung op eng Adress limitéiert blouf. E méi breede Selekter géif näischt iwwer déi ursprénglech Beschwéier beweisen.

Wat dëst net reparéiert

Loosst d'Weiderleedung, d'Firewall-Regelen an d'ICMPv6-Verhalen um Gateway wéi se waren, well eng Quellroute keen dovun ersetzt. Eng feelend Packet Too Big-Noriicht brécht nach ëmmer grouss Äntwerten, egal wéien Table d'Sich gewonnen huet. Reparéiert dat, ier Dir Routing-Regelen derbäi setzt, soss iwwerlieft de Symptom d'Ännerung.

Bestätegt d'Publikatiounsmodell, ier Dir eppes dovun uwescht. En ëmgedréinten Proxy, deen seng eege Backend-Verbindung opmécht, presentéiert seng eege Quell a behält den Uruffenden net, dofir kann dësen Defekt an deem Design net optrieden. D'Regel do unzewennen géif eng Routing-Ausnam derbäi setzen, déi näischt léist an déi richteg Ursaach verstoppt.

Schreift schlussendlech d'Regelnummeren an den Table an d'Konfiguratiounsverwaltung vum Host. Eng Politiksregel, déi vun Hand derbäi gesat gëtt, verschwënnt beim nächsten Neibau, an den Büro-Uruffende kënnt mat der selwechter Beschwéier zréck.