Eng eidel VPN-Tabell blockéiert vun sech aus näischt

Eng Politikregel schéckt markéiert Paketen an eng eegen Tabell, an déi üblech Erwaardung ass, datt de Verloscht vun der VPN-Route se blockéiert. De Mechanismus mécht eppes anescht. Wann eng Tabell keng passend Route huet, geet d’Sich bei déi nächst Regel weider amplaz opzehalen, an d’Tabell main hält nach ëmmer eng gewéinlech Standardroute fir den Uplink. D’Resultat ass eng Konfiguratioun, déi wéi fail-closed ausgesäit a sech wéi fail-open verhält.

Näischt ass futti; sou ass Policy-Routing spezifizéiert.

D’Sich geet weider, wann eng Tabell näischt huet

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Huelt dee Regelsaz: eng markéiert Sich geet an d’Tabell 42, an eng spéider Regel schéckt déiselwecht Markéierung an eng Tabell mam Numm default. Soulaang d’Tabell 42 eng brauchbar Standardroute hält, liwwert déi éischt Sich de Wee. Wann déi Route verschwënnt an näischt anescht an der Tabell 42 entsprécht, gëtt d’Sich keen Ofwurf; d’Veraarbechtung geet bei déi nächst Regel weider, a wann déi och näischt fënnt, erreecht se d’Tabell main. Näischt an dëser Rei follegt wéi eng Regel déi lescht Äntwert geliwwert huet, dofir gesäit eng funktionéierend Verbindung wéi eng funktionéierend Politik aus.

D’Tabell 253, déi gewéinlech default genannt gëtt, ass eng gewéinlech Routingstabell a si ass normalerweis eidel. Hire Numm ass keng Uweisung, Paketen ze verwerfen, an et ass net datselwecht wéi eng Standarddestinatiounsroute bannent enger Tabell.

Terminal Aktiounen ennen d’Sich

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Eng terminal Regel kann op d’VPN-Sich follegen, amplaz vun enger Sich an enger eideler Tabell. Mat der selwechter Markéierung ennt eng prohibit-Aktioun, déi no der Regel vun der Tabell 42 steet, d’Sich, wann déi Tabell näischt liwwert, a gëtt eng administrativ Oflehnung zréck, amplaz der Tabell main nach eng Chance ze ginn. Unreachable a blackhole sinn och terminal, mat aneschtem Feelerverhalen fir den Ofsender.

Eng Route vum Typ throw ass anescht: bannent där Tabell verhält se sech, wéi wann näischt entsprach hätt, dofir kommen spéider Reegelen nach ëmmer un d’Rei. Dat mécht throw nëtzlech fir bewosst Réckfall a falsch als definitiv Block.

Verifizéiert mat der richteger Markéierung an Interface

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Kuckt d’richteg Reegelen an d’Tabell un an net en Diagramm, a froot dann de Flux mat dem Quell-, Markéierungs- an Input-Kontext, deen en tatsächlech huet. Eng Liesejust-Sich op en Zil, där Quelladress, Interface a Markéierung gesot ginn, mellt d’Route, déi de Kernel géif wielen, ouni datt e Paket erausgeet. Eng Markéierung an der Ufro unzeginn beweist net, datt d’Firewall richtegen Traffic markéiert; dat ass eng separat Kontroll vun de Markéierungsreegelen. Bestätegt de Wäert mat engem Compteur oder engem Log, ier Dir Schlëss aus der Ufro zitt.

Lokal generéiert Ufroe brauchen hire eigenen Kontext, well hire Markéierungswee sech dacks vun deem vum weidergeleetem Traffic ënnerscheet. Kontrolléiert se mat dem Ausgabsinterface, deen d’Applikatioun wierklech géif benotzen.

Zwou Feelerzoustänn, net eng

Een Feelerzoustand ass, datt d’VPN-Route verschwënnt an den Traffic op den Uplink fält. En doudegen Tunnel, deem seng Route installéiert bleift, ass en aneren: d’Pakete bleiwen an en onbrauchbare Wee geriicht, amplaz erauszefalen, an de Symptom ass e stille Verloscht an net eng sichtbar direkt Verbindung. Test béides, an test och d’Verhalen beim Start, beim Neiverbannen an beim Stopp vum Service.

Sou eng Regel hëlleft nëmme soulaang se existéiert a soulaang d’Paketen nach d’Markéierung droen, déi se auswielt. En Ofschaltskript, deen d’Regel läscht, oder e Wee, deen d’Markéierung ewechhëlt, stellt dat oppent Verhalen erëm hier. Déi Iwwergäng si wäert, ze üben.

Wend d’Politik getrennt op IPv6 un, a halt déi guttgeheescht Endpunkt-Ausnamen explizit an net implizit.