Kodėl ištrintas VPN maršrutas grįžta po prisijungimo iš naujo

Maršrutas, kurį ištrynėte rankiniu būdu, grįžta po kito prisijungimo iš naujo, o lentelė atrodo lygiai taip pat kaip anksčiau. Tai ne maršrutizavimo klaida: kažkas iš naujo sukuria įrašą iš konfigūracijos arba iš ryšio gyvavimo ciklo veiksmo. Dauguma runbook'ų sustoja ties aktyvia lentele, todėl trynimas atrodo veikiantis minutę, o tada nepavyksta. Nustatykite savininką, pakeiskite jį ir įrodykite prisijungę iš naujo.

Kas įdiegė maršrutą

Pradėkite nuo kandidatų sąrašo, o ne nuo taisymo. VPN profilis gali turėti savo maršrutus, serveris gali juos push'inti jungiantis, tinklo tvarkyklės profilis gali juos deklaruoti, įkrovos vienetas ar scenarijus gali juos pridėti, o IPsec diegimai įdiegia maršrutus sutartiniems srauto selektoriams. Politikos maršrutizavimo taisyklės taip pat gali visiškai nukreipti srautą į kitą lentelę.

Laikas juos atskiria greičiau nei konfigūracijos archeologija. Įrašas, atsirandantis tuo metu, kai sąsaja pakyla, priklauso klientui; tas, kuris ateina sekundę vėliau, paprastai atėjo iš serverio push'o; tas, kuris yra įkrovimo metu, priklauso išsaugotai konfigūracijai. Užfiksuokite lentelę prieš ir po prisijungimo, atsijungimo ir perkrovimo, ir modelis įvardins savininką. Maršrutas, kuris grįžta tik perkrovus paslaugą, rodo į vienetą, o ne į VPN.

Perskaitykite lentelę prieš ją redaguodami

Žiūrėkite į paties branduolio vaizdą, o ne į išsaugotą failą. Protokolo stulpelis rodo, kas įdiegė kiekvieną įrašą:

ip route show
ip route show table all
ip rule show

Protokolo laukas, metrika ir lentelės numeris pasako, ar matote statinį įrašą, branduolio sukurtą įrašą, ar kažką, ką pridėjo demonas. Taisyklių sąrašas svarbus, nes paieška gali visiškai palikti pagrindinę lentelę, todėl redagavimas ten tampa nematomas programai, kurią derinate. Skaitykite eilutę iš kairės į dešinę: paskirties vieta, šliuzas, įrenginys, protokolas ir metrika.

Tada paklauskite branduolio, kokį maršrutą jis iš tikrųjų naudotų. Apsaugotas adresas yra geresnė zondas nei viešas:

ip route get 10.20.5.7

Keiskite savininką, o ne simptomą

Kai savininkas žinomas, pakeitimas priklauso tam savininkui. Pašalinkite maršrutą iš kliento profilio, ištaisykite push'intą maršrutą serveryje arba redaguokite tinklo tvarkyklės ryšį, o ne pridėkite konkuruojantį nuolatinį maršrutą, kuris laimi pagal metriką. Dvi tarpusavyje kovojančios taisyklės sukuria lentelę, kurios vėliau niekas negali paaiškinti.

Išsaugokite pabaigos taško išimtį. Host'o maršrutas, siunčiantis paties VPN serverio viešą adresą per fizinį šliuzą, yra tai, kas palaiko išorinių tunelio paketų srautą; ištrynus jį, tunelis bando nešti pats save. Split-tunnel profilyje ta pati priežiūra taikoma vietiniams potinkliams, kurie turi apeiti tunelį.

Prisijunkite iš naujo ir patikrinkite abu kelius

Prisijunkite iš naujo, tada vienu kartu patikrinkite abi paskirties vietas. Apsaugotas adresas ir pašalintas pabaigos taškas atsako į skirtingus klausimus:

ip route get 10.20.5.7
ip route get 198.51.100.20

Pirmasis turėtų būti sprendžiamas per tunelio sąsają, o antrasis per fizinį šliuzą. Jei abu sprendžiami per tunelį, išimties trūksta; jei nė vienas, profilio pakeitimas neįsigaliojo ir matote kitą savininką, nei manėte.

Užrašykite maršruto paskirtį, savininką ir kiek laiko jis turėtų gyvuoti. Ta pastaba yra tai, kas neleidžia kitam žmogui pakartoti to paties trynimo ir prisijungimo iš naujo ciklo.