Wéi een VPN-gedréckt Route vun statesche Route ënner Linux ënnerscheet

E Präfix erschéngt um Laptop, wann den Tunnel eropkënnt, dofir fillt et sech un, wéi wann d'VPN en installéiert hätt. Vläicht och, awer dat selwecht Resultat kann aus engem Client-Skript kommen, dee beim Verbannen leeft, aus engem Verbindungsprofil, deen den Subnetz opzielt, oder aus enger statescher Route, déi déi ganz Zäit do war an eréischt ugefaang huet ze schaffen, wéi d'Interface existéiert huet. Dee falschen Hierkonft ze wielen heescht, datt d'Route no all Botz erëmkommt an déi nächst Persoun déiselwecht Korrektur widderhëlt. Déi folgend Reiefolleg trennt déi dräi, ier eppes geännert gëtt.

Schrëtt 1: nennt de Mechanismus, deen d'Präfixe installéiert

Verschidde Protokoller liwweren Erreechbarkeet op verschidde Weeër, an dat alles als Ukënnegung ze bezeechnen verstoppt den Ënnerscheed. En OpenVPN-Server dréckt eng Routen-Direktiv iwwer de Kontrollkanal an de Client installéiert se, ausser e Pull-Filter blockéiert se. Eng WireGuard-Konfiguratioun zielt déi erlaabt Präfixe lokal op, déi de Client souwuel fir Kryptoschlëssel-Routing wéi och fir d'Route benotzt, déi en derbäisetzt. En IPsec-Tunnel verhandelt Verkéiersselektoren mam Peer, an de Kernel installéiert Route vun dëse Selektoren.

Bestëmmt, wéi ee vun dësen ären Tunnel benotzt, ier Dir eng Tabelle liest. Eng Route, déi beim Verbannen gedréckt gëtt, ass keng Ukënnegung vun engem Routingprotokoll an huet net versprach, datt de Präfix hannert dem wäitem Enn erreechbar ass. Notéiert de Mechanismus niewent dem Präfix, well en entscheet, wou d'Korrektur gehéiert.

Schrëtt 2: vergläicht d'Tabelle iwwer eng Verbindung

Späichert d'Haapttabelle mam Tunnel erof, bréngt en erop, späichert se nach eng Kéier a vergläicht déi zwee Opzeechnungen. Alles wat erschéngt ass, gehéiert zum Liewenszyklus vun der Verbindung, an alles wat bliwwen ass, gehéiert zur lokaler Konfiguratioun.

Huelt se mat ip route show table main > /tmp/route-down.txt op, verbënnt Iech a huelt se nach eng Kéier op. Maacht datselwecht fir ip -6 route, wann de Site IPv6 benotzt, well e fehlende Präfix do Feeler verursaacht, déi näischt mam Routing ze dinn ze hunn schéngen.

Schrëtt 3: liest d'Metrik, net just d'Presenz

Zwee Entréen fir dee selwechte Präfix kënnen zesumme bestoen, an de Kernel wielt déi méi niddreg Metrik. Eng statesch Route mat Metrik 50 wäert weider géint eng gedréckt Route op 100 gewannen, och wann déi zwee siichtbar sinn, dofir sinn 'd'Route ass do' an 'de Verkéier benotzt se' verschidden Aussagen.

Frot de Kernel direkt mat ip route get 10.20.5.7 a liest d'Interface, déi en ugëtt. Wann de Verkéier duerch den physeschen Adapter erausgeet, während eng Tunnelroute an der Tabelle sëtzt, erkläert d'Metrik oder d'Längt vum Präfix dat, net de VPN-Client. Widderhëlt d'Sich fir en Host, vun deem Dir wësst datt en hannert dem Tunnel ass, an ee vun deem Dir wësst datt en et net ass, an den Ënnerscheed weist, ob d'Deelung sech wéi virgesinn behält.

Schrëtt 4: fannt d'Entréen, déi den Tunnel iwwerliewe

Statesch Route iwwerliewe eng Trennung vum Design hier, an dohier kommen déi veralt Entréen. Eng permanent Route op eng Interface, déi et net méi gëtt, kann en Subnetz roueg verschlécken, an eng op en nei benotzten Interface-Numm kann no engem Neistart privaten Verkéier duerch déi falsch Dier schécken.

Kuckt d'permanent Säit op der Plaz, déi Är Distributioun benotzt, sief et eng systemd-networkd-Unit, e NetworkManager-Profil oder e Skript am up-Dossier vum Client. D'lieweg Tabelle mat ip route del ze fixéieren hält just bis zur nächster Verbindung. Betruecht déi Läschung als Test vun der Hypothese an net als d'Reparatur.

Wou de wäiten Enn déi falsch Deckung liwwert, bréngt et beim Bedreiwer un, amplaz alles ze filteren. All gedréckt Astellungen ewechzegeheien verwërft och DNS an d'Politik vum gedeelten Tunnel, op déi de Profil ugewise ass.

Schrëtt 5: bestätegt de Réckwee, ier Dir de Client beschëllegt

Fir Site-zu-Site oder en Subnetz hannert dem Tunnel brauch déi wäit Säit eng Route zréck op Är Clientadress an d'Weiderleedung um Gateway aktiv. En Eenwee-Wee gesäit genau wéi e Client-Routingfeeler aus, just datt den Handshake an de Pak no baussen allebéid geléngen.

D'Filtere vum Réckwee setzt eng zweet Fal op Linux-Gateways. Eng Äntwert, déi op enger anerer Interface ukommt wéi d'Route virausgesot huet, gëtt am strenge Modus verworf, an asymmetresch Weeër iwwer zwee Fournisseuren aktivéieren dat zouverlässeg. D'Drop-Zieler um Gateway, net um Client, soen Iech, ob d'Filtere d'Ursaach ass.

Schrëtt 6: test d'Ressource, net de Ping

Wann déi gewielte Route richteg ass, maacht déi tatsächlech Ressource op a bestätegt de Réckverkéier. Eng Ping-Äntwert beweist de Wee an eng Richtung an näischt iwwer de Service, an e Service, deen op enger gecachter Verbindung äntwert, beweist nach manner.

Widderhëlt duerno déi ganz Kontroll no enger neier Verbindung. De Wäert vun der Reiefolleg ass, datt se viraussoet, wat déi nächst Verbindung wäert maachen, dofir gehéieren souwuel de Verglach wéi d'Metrik an den Ticket.