Rekursiivt Routing: wann den Tunnel seng eegen Paketen afänkt

Den Tunnel kënnt erop, de Log weist en ofgeschlossenen Handshake, an eng Sekonn méi spéit stierft déi selwecht Sessioun a verbënnt sech a Schläif erëm. Dëst Muster huet eng bestëmmte Ursaach: d’Route zum Server weist elo an den Tunnel eran, dofir ginn d’Paketen, déi den Tunnel droen, duerch den Tunnel geschéckt. Um Authentifikatioun huet sech näischt geännert, dofir mécht et keen Ënnerscheed, d’Zougangsdaten nach eng Kéier anzeginn. Vergläicht den äusseren Wee virun an no der Routenännerung an d’Rekursioun gëtt sichtbar.

Kuckt fir d’éischt den äusseren Wee

Et sinn zwou Paketen am Spill, net eng. Déi bannenzeg Paket gehéiert zur Applikatioun a soll verschlësselt sinn, wärend déi baussenzeg Paket un den Server adresséiert ass an en iwwer e Wee erreeche muss, deen net vum Tunnel ofhänkt.

ip route get 198.51.100.7
ip rule show
ip route show table all | grep -F 198.51.100.7
wg show wg0 endpoints

Frot de Kernel no der Route zur Adress vum Server, nodeems den Tunnel erop ass, an nach eng Kéier, nodeems d’Standardroute sech geännert huet. En nächsten Hop, deen um Tunnelgerät landt, ass d’Rekursioun, an en ass ouni all Paketenofang sichtbar. Eng Bindung un d’Interface, Marken oder en Netzwierk-Namensraum kënnen eng einfach Ufro onkomplett maachen, dofir benotzt de Kontext, deen de Client selwer benotzt. Wann d’Äntwert richteg ausgesäit, awer d’Sessioun nach ëmmer an der Schläif ass, liest d’Regele vun der Routingpolitik an net just d’Haapttabell.

Firwat d’Sessioun en Ament iwwerlieft

Den Handshake ass fäerdeg, ier déi nei Route installéiert gëtt, dofir gesinn déi éischt Sekonnen gesond aus. Soubal de Client d’Standardroute bäisetzt, follegt déi nächst baussenzeg Paket hir an d’Interface eran, duerch déi déi Paket misst reesen. Den Server gesäit näischt, de Client schéckt nach eng Kéier, an den Versuch entweder leeft of oder de Sessioun gëtt ëmbruecht an et fänkt vun uewen un.

Dës Reiefolleg erkläert, firwat en Tunnel op engem Laptop ka funktionéieren an op engem Router feelt, a firwat de Feeler dacks ufänkt wann den Trafik ufänkt an net beim Verbannen. Si erkläert och d’Schläif: all Neistart stellt d’Sessioun erëm hier, ier d’Route dat onméiglech mécht.

Fannt eraus wiem d’Ausnam vum Endpunkt gehéiert

Ënnerstëtzte Cliente maachen hir eege Ausnam: eng Hostroute zum Server iwwer de urspréngleche Gateway, oder eng Mark, déi de baussenzege Socket aus dem Tunnel hält. D’Fro ass, ob eppes aneres se ewechgeholl oder iwwerschriwwen huet.

Bei routerbaséiertem IPsec kuckt dir d’Politikselektoren un, déi entscheeden, wéi eng Paketen an den Tunnel kommen, a bestätegt, datt d’Adress vum Peer dovu ausgeschloss ass. Bei WireGuard halen d’Firewallmark vum Interface an seng Politikregelen d’Transportpaketen ausserhalb vum Tunnel, dofir kann eng manuell bäigesate Standardroute dës Anuerdnung zerbriechen. En zweet VPN-Profil oder e Verwaltungsskript, dat d’Standardroute iwwerschreift, ass en dacks Schëllegen. Breet Ëmwee-Regelen, déi een nom aneren derbäi kommen, sinn dat üblech Resultat, an si verwandelen e Routingfeeler an eng Tabell, déi keen ënnerhalen kann.

Kuckt no enger Netzwierkännerung nach eng Kéier

Eng Hostroute iwwer en Wi-Fi-Gateway ass richteg, bis d’Maschinn op en anert Netzwierk wiesselt. Dann kënnt dat selwecht Symptom zeréck ouni all Ännerung un der Konfiguratioun.

Notéiert d’Adress vum Endpunkt, d’Route virun an no dem Verbannen an d’Interface, déi jidderee benotzt huet. Déi dräi Fakten trennen normalerweis e Clientfeeler vun enger Iwwerschreiwung, an si iwwerliewe d’Persoun, déi se gesammelt huet.

Verbannt Iech nach eng Kéier um neien Netzwierk a widderhëlt d’Liesen. Wann d’Ausnam nach eng Kéier feelt, gehéiert d’Korrektur an de Profil, deen se huet, an net an en eemolegen Befehl, deen während enger Stéierung getippt gouf.