Vai VPN klients izdzēš jūsu pievienoto maršrutu? Izmantojiet politikas tabulu

Viens /24 laboratorijas printerim pazūd starp diviem ip route show izsaukumiem, un klienta žurnāls tikai saka, ka tīkls ir mainījies. Ar komandu, prefiksu vai jūsu tiesībām nekas nebija nepareizi. Uzņēmuma klients, kuram pieder resursdatora maršrutēšanas modelis, atkārtoti uzspiež šo modeli, kad vien kāds cits to rediģē, tāpēc jūsu pievienotais ieraksts tiek noņemts kā ielauzējs. Cīnīties ar to tajā pašā tabulā ir zaudēta pozīcija. Risinājums ir pilnībā pārtraukt konkurēt par šo tabulu un ievietot izņēmumu tur, kur monitors nekad neskatās.

Monitors izskaidro pazudušo maršrutu

Parādiet to pirms kaut kā pārveidošanas: izlasiet tabulu, pievienojiet prefiksu, pagaidiet dažas sekundes, izlasiet vēlreiz. Ja ieraksta nav un jūs neko neievadījāt, lai to noņemtu, kāds aģents vēro. Atrodiet procesu, kuram pieder šī uzvedība, un izlasiet tā žurnālu ap brīdi, kad maršruts pazūd, jo parasti tas pats serviss uztur tuneli, pakešu filtrus un resolvera konfigurāciju. To nogalināt, lai jūsu maršruts paliktu, ir maiņa, par ko jūs nožēlosit nākamajā atkārtotajā savienojumā.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Iepriekš minētais prefikss un interfeiss ir vietturi. Interfeisa nosaukuma kopēšana no strādājoša piemēra citā mašīnā ir visbiežākais iemesls, kāpēc šī demonstrācija vispār neko nedod.

Otra tabula monitoram nav redzama

Aģents pārbūvē tikai tabulu, kas tam pieder. Dodiet izņēmumam savu tabulu un noteikumu, kas atbilstošos galamērķus sūta tur, un galvenā tabula nekad nemainās, tāpēc aģentam nav ko labot. Tā ir visa ideja: viena maršrutu nosaukumtelpa, ko uztur kāds cits, un otra, kurai pieskaras tikai jūs.

Maiņa ir uzturēšana. Divi objekti var attālināties viens no otra, un noteikuma vieta sarakstā ir tikpat svarīga kā maršruts tabulā, kuru tas izvēlas.

Izveidojiet izņēmumu un pēc tam ļaujiet tam uzvarēt

Izveidojiet tabulu, instalējiet maršrutu un pievienojiet noteikumu, kas šim galamērķim izvēlas tabulu. Prioritāte nosaka, vai jūsu noteikums tiek apskatīts pirms klienta ievietotajiem noteikumiem vai pēc tiem, un vēlāk sakārtots noteikums nekad netiek sasniegts, tāpēc skaitlis ir dizaina daļa, nevis dekorācija. Pēc tam pajautājiet kodolam, ko tas patiešām darītu, kas ir cits jautājums par to, ko jūs konfigurējāt.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get atrisina maršrutu, ko kodols izmantotu, tostarp ierīci un avota adresi. Tas neizdrukā tabulas identifikatoru, tāpēc savienojiet to ar ip rule show, ja jums ir jāapstiprina, kura tabula uzvarēja. Kopā tie atbild uz vienīgo svarīgo jautājumu: vai trafiks uz šo adresi iziet tur, kur jūs gribējāt?

Citas tās pašas idejas formas

Raksts vispārinās, tiklīdz pārtraucat domāt galamērķos. Vietējais apakštīkls var palikt sasniedzams, kamēr tunelis saglabā noklusējuma maršrutu. SSH servera, kas pievienots LAN, atbildes var iziet pa interfeisu, pa kuru tās ienāca, nevis pazust tunelī. Un interfeisā balstīts noteikums var iespiest tunelī visu, kas ienāk bezvadu interfeisā, kamēr paša resursdatora ģenerētais trafiks paliek Ethernet:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Pēdējais gadījums atbilst ienākošajam interfeisam, nevis galamērķim, kas ir cits noteikuma tips un cits domāšanas modelis. Pārsūtītajam trafikam arī jābūt ieslēgtam net.ipv4.ip_forward, un tālajai pusei avota diapazons jāmaršrutē atpakaļ vai jāpārtulko; noteikums vienā mašīnā nekad neizveido otru ceļa pusi.

Uztveriet noteikumu kā vienreizēju

Noteikumi un tabulas maršruti dzīvo atmiņā. Pēc atkārtotas savienošanas tuneļa ierīce var tikt pārdēvēta, piešķirtā adrese var pārvietoties, un noteikums ar veco vērtību klusi pārstāj atbilst. Atkārtoti piemērojiet visu izmaiņu no viena skripta, kuram tā pieder, pēc tam vēlreiz pārbaudiet ip rule show, pašreizējo ierīces nosaukumu un jaunu ip route get pret reālu galamērķi, pirms uzticaties izņēmumam.

Divas robežas saglabājas jebkurā rūpībā. Klients joprojām kontrolē savus filtrēšanas noteikumus un resolvera konfigurāciju, un maršrutēšanas izņēmums neaizstāj nevienu no tiem. Ja klients izdzēš arī jūsu politikas noteikumu, atbalstītie ceļi ir tā paša sadalītā tuneļa politika vai klients, kas ļauj jums pārvaldīt maršrutus, piemēram, OpenConnect; pārdevēja binārā faila lāpīšana, lai apklusinātu tā monitoru, ir uzturēšanas saistības ar pievienotu integritātes pārbaudi.

Pierakstiet tabulas numuru, prioritāti un galamērķi piezīmē blakus skriptam. Citādi nākamais cilvēks atradīs noteikumu, kas pārspēj tuneli, un tam nebūs veida, kā uzzināt, kāpēc.