VPN-Client läscht Är dobäigefügte Route? Benotzt eng Policy-Tabell

De Client setzt d’Routen, déi hie besëtzt, ëmmer erëm duerch, sou datt en manuell dobäigefügten Entrée a Sekonnen verschwënnt. Setzt d’Ausnam an eng Policy-Tabell mat enger Regelprioritéit, déi gewënnt.

Eng /24 fir en Labordrucker verschwënnt tëscht zwee ip route show-Opruffer, an de Client-Log seet just, datt d’Netzwierk geännert huet. Et war näischt falsch um Kommando, um Präfix oder un Äre Rechter. En Entreprise-Client, deen d’Routingmodell vum Host besëtzt, setzt dëse Modell erëm duerch, wann een aneren en ännert, sou datt den Entrée, deen Dir dobäigefügt hutt, als Intrus ewechgeholl gëtt. Géint hien an der selwechter Tabell ze kämpfen ass eng verluere Positioun. D’Léisung ass, komplett ophalen, ëm déi Tabell ze konkurréieren, an d’Ausnam dohinner ze leeën, wou de Monitor ni kuckt.

De Monitor erkläert déi fehlend Route

Weist dat, ier Dir eppes ëmdesignt: liest d’Tabell, füügt de Präfix dobäi, waart e puer Sekonnen, liest nach eng Kéier. Wann den Entrée feelt an Dir hutt näischt aginn, fir en ze läschen, da wacht en Agent. Fannt de Prozess, deem dëst Verhalen gehéiert, a liest säi Journal ronderëm de Moment, wou d’Route verschwënnt, well dee selwechte Service meeschtens den Tunnel, d’Paketfilter an d’Konfiguratioun vum Resolver ënnerhält. Hien ze killen, fir datt Är Route bleift, ass en Tausch, deen Dir bei der nächster Verbindung bedauere wäert.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

De Präfix an d’Interface uewendriwwer si Platzhalter. En Interface-Numm aus engem funktionéierende Beispill op enger anerer Maschin kopéieren ass deen heefegste Grond, firwat dës Demonstratioun iwwerhaapt näischt ergëtt.

Eng zweet Tabell ass fir de Monitor onsichtbar

Den Agent baut just d’Tabell nei op, déi him gehéiert. Gitt der Ausnam eng eegen Tabell plus eng Regel, déi déi passend Destinatiounen dohinner schéckt, an d’Haapttabell ännert sech ni, sou datt den Agent näischt ze korrigéieren huet. Dat ass déi ganz Iddi: een Nummraum vu Routen, deen een aneren ënnerhält, an een, deen nëmmen Dir ufaasst.

Den Tausch ass Ënnerhalt. Zwee Objete kënnen ausernee driften, an d’Positioun vun der Regel an der Lëscht ass esou wichteg wéi d’Route an der Tabell, déi se auswielt.

Baut d’Ausnam a loosst se da gewënnen

Erstellt d’Tabell, installéiert d’Route a füügt eng Regel dobäi, déi d’Tabell fir dës Destinatioun auswielt. D’Prioritéit entscheet, ob Är Regel virun oder nom deene vum Client agefégte Regelen nachgekuckt gëtt, an eng Regel, déi méi spéit sortéiert gëtt, gëtt ni erreecht, also ass d’Zuel Deel vum Design an net Dekoratioun. Frot da de Kernel, wat e wierklech géif maachen, wat eng aner Fro ass wéi dat, wat Dir konfiguréiert hutt.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get léist d’Route, déi de Kernel géif benotzen, inklusiv dem Apparat an der Quelladress. Et dréckt d’Tabellidentitéit net aus, also kombinéiert et mat ip rule show, wann Dir bestätege musst, wéi eng Tabell gewonnen huet. Zesumme beäntweren se déi eenzeg wichteg Fro: verléisst den Trafick zu där Adress do, wou Dir et geduecht hutt?

Aner Forme vun der selwechter Iddi

D’Muster verallgemengert sech, soubal Dir ophält, an Destinatiounen ze denken. En lokale Subnetz kann erreechbar bleiwen, während den Tunnel d’Standardroute behält. Äntwerten vun engem SSH-Server um LAN kënnen iwwer d’Interface erausgoen, iwwer déi se ukomm sinn, amplaz am Tunnel ze verschwannen. An eng interfacebaséiert Regel kann alles, wat op enger drahtloser Interface ukommt, an den Tunnel drécken, während den Trafick, deen den Host selwer generéiert, op Ethernet bleift:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Dee leschte Fall entsprécht der incoming Interface amplaz der Destinatioun, wat en aneren Regeltyp an en anert mentalen Modell ass. Weidergeleetem Trafick brauch och net.ipv4.ip_forward aktivéiert, an déi wäit Enn muss de Quellberäich zréckrouten oder en iwwersetzen; eng Regel op enger Maschin erschaaft ni déi aner Halschent vum Wee.

Behandelt d’Regel als ewechgeheien

Regelen an Tabellrouten liewen am Späicher. No enger Neiverbindung kann den Tunnelapparat ëmbenannt ginn, déi zougewisen Adress kann sech verréckelen, an eng Regel mat dem ale Wäert passt net méi geräischlos. Setzt déi ganz Ännerung aus engem eenzegen Skript, deen se besëtzt, nach eng Kéier ëm, a kontrolléiert dann ip rule show, den aktuellen Apparatnumm an eng frësch ip route get géint eng richteg Destinatioun, ier Dir der Ausnam vertraut.

Zwee Grenze bleiwen awer bei all Suergfalt. De Client kontrolléiert nach ëmmer seng eege Filterregelen an d’Konfiguratioun vum Resolver, an eng Routing-Ausnam iwwerschreift keng vun deenen zwee. Wann de Client och Är Policy-Regel läscht, sinn déi ënnerstëtzt Weeër seng eege Split-Tunnel-Politik oder e Client, deen Iech Routen ze managen erlaabt, wéi OpenConnect; eng Vendor-Binary ze patchéiere fir säi Monitor ze roueg ze maachen ass eng Ënnerhaltsverpflichtung mat enger Integritéitsprüfung dobäi.

Schreift d’Tabellnummer, d’Prioritéit an d’Destinatioun an eng Notiz nieft dem Skript. Soss fënnt déi nächst Persoun eng Regel, déi den Tunnel iwwertrëfft, an huet keng Méiglechkeet ze wëssen, firwat.

Ähnlech Artikelen