Wat Policy-Routing am VPN-Verkehr ännert an wat net

Policy-Routing beäntwert eng aner Fro wéi déi, déi déi meescht Fehlerbehiewungsnotizen stellen. D'Haapttabelle seet, wou eng Destinatioun higeet; Policy-Regele soen, wéi eng Tabell iwwerhaapt gefrot gëtt, an si kënnen dat aus der Quelladress, enger Pakmarkéierung, oder aus der Schnëttstell entscheeden, op där e Pak ukomm ass. Wann en Tunnel sech inkonsistent behält, ass d'Regelset dacks de Grond an d'Routingtabell dacks net.

D'Regele wielen d'Tabell, dann wielt d'Tabell d'Route

All Regel dréit eng Prioritéit, eng Matchesbedingung an eng Ziltabell. De Kernel geet d'Regele an der Prioritéitsuerdnung duerch a stoppt bei der éischter Iwwereneestëmmung, mécht dann eng gewéinlech Sich no dem längsten Prefix an där Tabell. Eng Regel, déi op eng eidel Tabell weist, fällt duerch op dat, wat déi nächst Regel auswielt, an esou kann eng suergfälteg geschriwwe Regel schéngen, wéi wann et näischt mécht.

Dofir erkläert en Ausdrock vun der Haapttabelle selten e funktionéierende VPN-Client. Cliente setzen d'Regele meeschtens op niddreg Prioritéitsnummeren, vill virun der Standardregel vun der Haapttabelle, sou datt de Pak ni d'Route erreecht, déi Dir ugestaart hutt. Eng Metrik an der Haapttabelle ze senken, ännert näischt fir Verkéier, dee schonn ëmgeleet gouf.

Eng Regel kann e Prefix och bewosst zu engem schwaarze Lach maachen oder onerreechbar. E puer Cliente setzen esou eng Regel als Kill-Switch dobäi, an dann gesäit den Drop aus wéi en gebrachenen Tunnel an net wéi en konfiguréierten.

Liest d'Regelset als Sequenz, net als Lëscht

Dréckt d'Regele mat hire Prioritéiten an den Tabellen aus, op déi si verweisen, an dréckt dann all Tabell aus, déi eng Standard- oder Tunnelroute dréit. D'Uerdnung ass den Deel, op deen et ukënnt, an et ass den Deel, deen e Screenshot meeschtens ewechléisst:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Déi lescht zwou Kommandoen sinn déi, déi eng Theorie an eng Observatioun verwandelen, well si froen wat de Kernel fir déi Quell an déi Markéierung géif maachen. Wann d'Äntwert sech ännert, wann d'Markéierung sech ännert, ass eng markéierungsbaséiert Regel am Spill an all Test, deen d'Markéierung ewechléisst, testt e anere Pak. D'äusser Verbindung verdéngt hir eege Regel. En Tunnel, deen de ganze Verkéier duerch sech selwer leet, muss d'Endpunktadress auszeschléissen, mat där en sech verbënnt, soss ginn déi verschlësselt Päck an den Tunnel zréckgeschéckt, deen si just verlooss hunn. Déi meescht Cliente setzen deem Ausschloss automatesch an, an eng vun Hand beaarbecht Regelset ass dee Punkt, wou et feelt.

Markéierungen a Sockets: zwou Méiglechkeeten, wéi Cliente Verkéier deelen

E puer Cliente markéieren Päck an der Firewall a setzen eng Regel dobäi, déi op d'Markéierung passt. Anerer benotzen Routing op Socket-Niveau a setzen eng Route op de Socket, ier en sech verbënnt. Dat éischt ass an ip rule ze gesinn; dat zweet net, an et erschéngt net an enger allgemenger Sich.

Wann e Testprogramm sech anescht behält wéi d'Applikatioun, déi et soll duerstellen, kontrolléiert, ob d'Applikatioun eng Markéierung setzt oder sech un en Apparat bindet. Dee Virdeel ass keng Mystär, soubal de Mechanismus benannt ass, an en erkläert, firwat e curl aus enger Shell an en Browser-Tab op der selwechter Maschinn verschidde Weeër kënne huelen. Béid Technike sinn Policy-Routing am breden Sënn: si wielen e Wee mat eppes aneschtes wéi d'Destinatioun. Keng vun deenen zwou autoriséiert de Verkéier, a keng ersetzt d'Firewall-Regele oder d'Umeldungsdaten, déi de Peer erwaart.

Verfollegt d'Eegentum, ier Dir nach eng Regel bäisetzt

D'Regele ginn duerch eppes installéiert. E VPN-Client, en Netzmanager an e vun Hand geschriwwene Skript kënnen all beim Start Regele bäisetzen, an d'Reconnect-Logik kann déi viregt Rei hannerloossen. Zwou veraltete Regele vun engem fréiere Profil leeden de Verkéier nach laang, nodeems de Profil geläscht gouf.

Fannt eraus, wéi e Prozess d'Regel besëtzt, un hirer Prioritéit an hirer Form, a kontrolléiert, ob deen Eegentümer d'Rei bei all Verbindung nei schreift. Wann jo, verschwënnt eng Regel vun Hand, déi haut bäigesat gouf, muer, an d'Korrektur gehéiert an d'Konfiguratioun vum Client an net an eng Shell-Historiefichier. D'ganz Regelset fir e Test eidel ze maachen ass eng verlockend Ofkierzung mat virsiblech Käschten: et hëlt och d'Regele wech, déi de Client brauch, fir säin eegenen Tunnel um Lafen ze halen. Läscht eng Regel no der anerer, oder testt op enger Maschinn, déi Dir kënnt nei starten.

Beweist den Ëmfang mat zwéi Flëss, net mat engem

Eng Korrektur gëtt nëmmen duerch e Floss verifizéiert, deen beaflosst soll ginn, an e Floss, deen net soll. Wielt eng Destinatioun, déi d'Policy an den Tunnel leet, an eng, déi dobausse misst bleiwen, a vergläicht dann d'Sichen an d'Aufzeechnunge fir déi zwou:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Wann déi zwou Siche verschidde Schnëttstelle zréckginn, mécht d'Regel eppes. Wann si déiselwecht Schnëttstell zréckginn, passt d'Regel méi breet wéi geduecht, an dat ass de Feeler, deen onbemierkt e ganzt Subnet duerch en Tunnel schéckt, deen fir eng eenzeg Applikatioun geduecht war.

Notéiert d'Prioritéite vun de Regele an den eegene Service am Ticket, zesumme mat den zwou Testadressen. Dann huet déi nächst Persoun e reproduzierbare Puer amplaz enger Beschreiwung vun engem Symptom, a kann an enger Minutt soen, ob Policy-Routing nach am Spill ass.