Kāpēc /32 resursdatora maršruts uztur VPN galapunktu sasniedzamu

Resursdatora maršruts izvēlas vienu adresi, ne apakštīklu. Tas var uzturēt tuneļa galapunktu sasniedzamu vai piespraust vienu resursu, bet noveco, kad adreses mainās.

Pēc savienojuma atverat maršrutēšanas tabulu un atrodat vienu adresi, kas tiek maršrutēta caur tuneli, kamēr apakštīkls ap to joprojām iet uz vietējo vārteju. Šis ieraksts ir resursdatora maršruts: viena adrese, kas atbilst prefiksam no vieniem. Tas ir svarīgi, jo maršrutēšanas lēmumi izmanto garāko atbilstošo prefiksu, tāpēc /32 var apsteigt /24 vai noklusējuma maršrutu, nemainot nevienu no tiem. Vai tas ir rūpīgs izņēmums vai nākotnes pārtraukums, ir atkarīgs no tā, kuru adresi tas nosauc un kas to uztur.

Viena adrese, viens ieraksts tabulā

IPv4 resursdatora maršruts nes /32 prefiksu, bet IPv6 resursdatora maršruts — /128, kas nozīmē, ka ieraksts var atbilst tieši vienai galamērķa adresei. Nekas cits tabulā nekustas: pārklājošais apakštīkls un noklusējuma maršruts paliek tur, kur bija. Šaurais ieraksts uzvar šai adresei tāpēc, ka tā prefikss ir garāks, nevis tāpēc, ka tas tika pievienots vēlāk.

Šī īpašība padara resursdatora maršrutu par labu izņēmumu un sliktu ieradumu. Divi /32 ieraksti, kas nosauc pakalpojuma priekšdurvis, neaptver tā otro adresi, tā IPv6 adresi vai adresi, uz kuru tas pārcelsies nākamajā mēnesī. Tabula, kas pilna ar neizskaidrotiem vienas adreses ierakstiem, parasti nozīmē, ka kāds visu laiku lāpīja apakštīkla lēmumu, tā vietā lai to pieņemtu. Vispirms izlasiet prefiksa garumu, pēc tam jautājiet, ko ierakstam vajadzētu aizsargāt.

Lasiet ierakstu no klienta uz āru

Sāciet ar mašīnu, kurai ir problēma, jo viena un tā pati adrese portatīvajā datorā un tā priekšā esošajā vārtejā var tikt maršrutēta atšķirīgi. Pajautājiet kodolam, kuru ceļu tas izvēlētos tieši tai adresei, ko izmanto lietojumprogramma, tā vietā lai lasītu tabulu no augšas. Atbilde ietver saskarni un nākamo lēcienu, kas kopā ir lēmums.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Atkārtojiet vaicājumu tai adrešu saimei, kuru lietojumprogramma patiešām izvēlas, jo klients var dot priekšroku IPv6 un klusi apiet IPv4 izņēmumu. Salīdziniet rezultātu pirms tuneļa pacelšanas un pēc tam, un saglabājiet abas izvades. Šis salīdzinājums parāda, vai klients ierakstu pievienoja savienošanās laikā vai tas jau bija tur.

Pastāvīgs ieraksts un izpildlaika ieraksts neizdodas atšķirīgi. Izpildlaika ieraksts pazūd kopā ar sesiju, bet pastāvīgais pārdzīvo pārstartēšanu un turpina sūtīt datu plūsmu uz vārteju, kuras vairs nav.

Galapunkta izņēmums un rekursijas slazds

VPN klienti parasti instalē resursdatora maršrutu uz servera ārējo adresi caur sākotnējo vārteju, pirms pārvirza noklusējuma maršrutu. Bez šī ieraksta šifrētās paketes tiktu sūtītas tunelī, ko viņi cenšas uzbūvēt, un savienojums grieztos cilpā, līdz beigtos laiks.

Slazds parādās, kad tuneļa pieņemtie apakštīkli nejauši ietver šo galapunkta adresi, vai kad otrs profils vēlāk pievieno plašāku maršrutu. Tad galapunkta ieraksts zaudē garākam prefiksam, un sesija sabrūk, tiklīdz sāk laist cauri datu plūsmu. Galapunkta adreses pierakstīšana blakus pieņemtajiem apakštīkliem ir lētākais veids, kā pamanīt sadursmi pirms lietotājiem. Tas arī izskaidro, kāpēc viens un tas pats profils darbojas no viena tīkla un neizdodas no cita.

Pārbaudiet ceļu, ko lietojumprogramma patiešām izmanto

Veiksmīgs ping uz resursdatora nosaukumu ir vājš pierādījums, kad lietojumprogramma savienojas ar citu adresi vai citu saimi. Pārbaudiet precīzu adreses, saimes, porta un saskarnes kombināciju mašīnā, kas izpilda klientu.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Ja ceļš ir nepareizs, pirms kaut ko rediģēt izlemiet, vai prasība ir tīkls vai viena adrese. Vienas adreses prasība attaisno resursdatora maršrutu ar komentāru un īpašnieku; pakalpojumam ar rotējošām adresēm ir vajadzīga domēnā balstīta maršrutēšana vai godīgs apakštīkla lēmums.

Noņemiet ierakstus, kas vairs neatbilst reālam galamērķim, un atzīmējiet tos, ko paturat. Neizskaidrots /32 pēc trim mēnešiem nav atšķirams no kļūdas, un nākamais cilvēks to izdzēsīs, nezinot, kas no tā bija atkarīgs.

Saistītie raksti