VPN klientas ištrina jūsų pridėtą maršrutą? Naudokite politikos lentelę

Vienas /24 laboratoriniam spausdintuvui dingsta tarp dviejų ip route show iškvietimų, o kliento žurnalas tik sako, kad tinklas pasikeitė. Su komanda, priešdėliu ar jūsų teisėmis nebuvo nieko blogo. Įmonės klientas, valdantis pagrindinio kompiuterio maršrutizavimo modelį, iš naujo įtvirtina tą modelį, kai kas nors kitas jį redaguoja, todėl jūsų pridėtas įrašas pašalinamas kaip įsibrovėlis. Kovoti su juo toje pačioje lentelėje yra pralaimėta pozicija. Sprendimas – visiškai nustoti konkuruoti dėl tos lentelės ir įdėti išimtį ten, kur stebėtojas niekada nežiūri.

Stebėtojas paaiškina dingusį maršrutą

Parodykite tai prieš ką nors perdarydami: perskaitykite lentelę, pridėkite priešdėlį, palaukite kelias sekundes, perskaitykite dar kartą. Jei įrašo nėra ir nieko neįvedėte, kad jį pašalintumėte, kažkoks agentas stebi. Raskite procesą, kuriam priklauso toks elgesys, ir perskaitykite jo žurnalą apie momentą, kai maršrutas dingsta, nes tas pats servisas paprastai prižiūri tunelį, paketų filtrus ir resolverio konfigūraciją. Jį nužudyti, kad maršrutas išliktų, yra mainai, kurių gailėsitės per kitą prisijungimą.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Pirmiau nurodytas priešdėlis ir sąsaja yra vietos rezervai. Sąsajos pavadinimo kopijavimas iš veikiančio pavyzdžio kitame kompiuteryje yra dažniausia priežastis, kodėl ši demonstracija visiškai nieko neduoda.

Antra lentelė stebėtojui nematoma

Agentas atkuria tik jam priklausančią lentelę. Duokite išimčiai savo lentelę ir taisyklę, kuri atitinkančius tikslus siunčia ten, ir pagrindinė lentelė niekada nesikeičia, todėl agentui nėra ko taisyti. Tai ir yra visa idėja: viena maršrutų vardų erdvė, kurią prižiūri kas nors kitas, ir kita, kurios liečiate tik jūs.

Mainai yra priežiūra. Du objektai gali nutolti vienas nuo kito, o taisyklės vieta sąraše svarbi tiek pat, kiek maršrutas lentelėje, kurią ji pasirenka.

Sukurkite išimtį, tada leiskite jai laimėti

Sukurkite lentelę, įdiekite maršrutą ir pridėkite taisyklę, kuri tam tikslui pasirenka lentelę. Prioritetas lemia, ar jūsų taisyklė bus tikrinama prieš kliento įterptas taisykles, ar po jų, o vėliau surikiuota taisyklė niekada nepasiekiama, todėl skaičius yra dizaino dalis, o ne puošmena. Tada paklauskite branduolio, ką jis iš tikrųjų darytų, o tai kitas klausimas nei tai, ką sukonfigūravote.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get išsprendžia maršrutą, kurį naudotų branduolys, įskaitant įrenginį ir šaltinio adresą. Jis nespausdina lentelės identifikatoriaus, todėl derinkite jį su ip rule show, kai reikia patvirtinti, kuri lentelė laimėjo. Kartu jie atsako į vienintelį svarbų klausimą: ar srautas į tą adresą išeina ten, kur ketinote?

Kitos tos pačios idėjos formos

Šablonas apibendrėja, kai nustojate galvoti tikslais. Vietinis potinklis gali likti pasiekiamas, kol tunelis laiko numatytąjį maršrutą. SSH serverio, prijungto prie LAN, atsakymai gali išeiti per sąsają, per kurią atėjo, o ne dingti tunelyje. O sąsaja pagrįsta taisyklė gali stumti viską, kas ateina į belaidę sąsają, į tunelį, o paties pagrindinio kompiuterio generuojamas srautas lieka Ethernet:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Paskutinis atvejis atitinka įeinančią sąsają, o ne tikslą, tai kitas taisyklės tipas ir kitas mąstymo modelis. Persiunčiamam srautui taip pat reikia įjungto net.ipv4.ip_forward, o tolimasis galas turi nukreipti šaltinio diapazoną atgal arba jį išversti; taisyklė viename kompiuteryje niekada nesukuria kitos kelio pusės.

Laikykite taisyklę vienkartine

Taisyklės ir lentelių maršrutai gyvena atmintyje. Po prisijungimo tunelio įrenginys gali būti pervadintas, priskirtas adresas gali pasislinkti, o taisyklė su sena verte tyliai nustoja atitikti. Iš naujo pritaikykite visą pakeitimą iš vieno scenarijaus, kuriam jis priklauso, tada dar kartą patikrinkite ip rule show, dabartinį įrenginio pavadinimą ir naują ip route get su tikru tikslu, prieš pasitikėdami išimtimi.

Dvi ribos išlieka nepriklausomai nuo kruopštumo. Klientas vis dar kontroliuoja savo filtravimo taisykles ir resolverio konfigūraciją, o maršrutizavimo išimtis nepakeičia nė vienos. Jei klientas taip pat ištrina jūsų politikos taisyklę, palaikomi keliai yra jo paties suskaidyto tunelio politika arba klientas, leidžiantis jums valdyti maršrutus, pavyzdžiui, OpenConnect; tiekėjo dvejetainio failo pleistras, kad nutildytų jo stebėtoją, yra priežiūros įsipareigojimas su pritvirtinta vientisumo patikra.

Užrašykite lentelės numerį, prioritetą ir tikslą pastaboje prie scenarijaus. Priešingu atveju kitas žmogus ras taisyklę, kuri viršija tunelį, ir neturės būdo sužinoti, kodėl.