Проверете го политичкото рутирање на Linux пред да го смените стандардниот пат

VPN домаќин одговара на еден интерфејс и одбива да ги врати одговорите назад низ тунелот, а стандардниот пат изгледа исправно. Токму таму главната табела престанува да биде целата приказна. Linux може да избере рутирачка табела за секој пакет со помош на политички правила, а VPN можеби инсталирал едно. Прочитајте ги правилата пред да го допрете стандардниот пат.

Редоследот е важен: прво правилата, потоа табелата што ја избира секое правило.

Прочитајте ги правилата по приоритет

Извршете ip rule show и читајте од горе надолу. Бројот на приоритет го контролира редоследот на оценување, а помал број се проверува порано. Стандардното правило на 32766 обично е последното што е важно. Ако списокот е долг, зачувајте го во датотека пред да смените нешто.

За секое правило запишете го приоритетот, совпаѓањето (извор, ознака, интерфејс или одредиште) и табелата на која се повикува. Правило без употреблива табела е ќор-сокак, не рута.

Истото направете го за IPv6 со ip -6 rule show. Политика што постои само во семејството IPv4 го остава другото семејство на главната табела.

Прочитајте ја табелата што ја избира секое правило

Користете ip route show table <name or number> за секоја наведена табела. Споредете ги нејзините рути со интерфејсот и следниот скок што ги очекувате. Празна или нецелосна табела објаснува дефект што главната табела не може.

Главната табела сѐ уште може да го држи стандардниот пат, и тоа е во ред. Ако правило го прати вашиот тек прво во табелата 51820, главниот стандард е ирелевантен за тој пакет.

Побарајте го името на табелата во /etc/iproute2/rt_tables ако бројот е непознат. Тоа барање трае една секунда и спречува долг заобиколен пат.

Откријте кој го инсталирал правилото

NetworkManager, wg-quick и други скрипти можат динамички да инсталираат правила. Бришењето на едно во тек може да биде вратено при следното поврзување. Проверете ја конфигурацијата на менаџерот пред да додадете конкурентно правило.

На пример, wg-quick додава означено правило и табела за дозволените адреси на тунелот. Токму тоа правило е причината зошто сообраќајот до тие адреси го заобиколува главниот стандард. Ако го отстраните без да ја смените конфигурацијата, следното up ќе го врати.

Зачувајте го надворешниот пат на крајната точка и пристапот за управување додека прегледувате. Не ги бришете сите правила на жив оддалечен gateway за да го поедноставите излезот. Управувачка сесија што ја преживува промената е дел од тестот.

Тестирајте го контекстот на изворот што е важен

Општо ip route get одговара на друго прашање од текот на апликацијата. Додајте ја изворната адреса и ознаката ако VPN користи една, за да го видите патот што го зема вистинскиот пакет. Тестирајте вклучено и исклучено одредиште со истиот контекст на извор. Потоа повторете за IPv6 ако домаќинот работи со двоен стек.

По одобрена корекција, повторно извршете ги истите две проверки и споредете. Запишете го предвиденото правило, табелата и колку долго правилото преживува рестарт. Тој запис го прави следниот рестарт на услугата објаснив, а не мистериозен. страницата од прирачникот за ip-rule ги документира селекторите за совпаѓање и синтаксата на табелите.