ശൂന്യമായ VPN പട്ടിക അതേക്കുറിച്ച് ഒന്നും തടയുന്നില്ല

ഒരു നയ നിയമം അടയാളപ്പെടുത്തിയ പാക്കറ്റുകളെ സമർപ്പിത പട്ടികയിലേക്ക് അയയ്ക്കുന്നു, VPN റൂട്ട് നഷ്ടപ്പെട്ടാൽ അവ തടയപ്പെടുമെന്നതാണ് സാധാരണ പ്രതീക്ഷ. എന്നാൽ സംവിധാനം മറ്റൊന്ന് ചെയ്യുന്നു. പട്ടികയിൽ പൊരുത്തപ്പെടുന്ന റൂട്ട് ഇല്ലാത്തപ്പോൾ, തിരയൽ അടുത്ത നിയമത്തിലേക്ക് തുടരുന്നു നിർത്തുന്നതിനുപകരം, main പട്ടികയിൽ ഇപ്പോഴും uplink-നുള്ള സാധാരണ ഡിഫോൾട്ട് റൂട്ട് ഉണ്ട്. ഫലം fail-closed ആയി തോന്നുകയും fail-open ആയി പ്രവർത്തിക്കുകയും ചെയ്യുന്ന ഒരു കോൺഫിഗറേഷനാണ്.

ഒന്നും തകർന്നിട്ടില്ല; നയാധിഷ്ഠിത റൂട്ടിംഗ് ഇപ്രകാരമാണ് നിർവചിച്ചിരിക്കുന്നത്.

പട്ടികയിൽ ഒന്നും ഇല്ലാത്തപ്പോൾ തിരയൽ തുടരുന്നു

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

ആ നിയമക്കൂട്ടം എടുക്കുക: അടയാളപ്പെടുത്തിയ തിരയൽ പട്ടിക 42-ലേക്ക് പോകുന്നു, പിന്നീടുള്ള നിയമം അതേ അടയാളം default എന്ന പേരിലുള്ള പട്ടികയിലേക്ക് അയയ്ക്കുന്നു. പട്ടിക 42-ൽ ഉപയോഗയോഗ്യമായ ഡിഫോൾട്ട് റൂട്ട് ഉള്ളിടത്തോളം, ആദ്യ തിരയൽ വഴി നൽകുന്നു. ആ റൂട്ട് അപ്രത്യക്ഷമാകുകയും പട്ടിക 42-ൽ മറ്റൊന്നും പൊരുത്തപ്പെടാതിരിക്കുകയും ചെയ്യുമ്പോൾ, തിരയൽ തിരസ്കരണമാകുന്നില്ല; പ്രോസസ്സിംഗ് അടുത്ത നിയമത്തിലേക്ക് പോകുന്നു, അതും ഒന്നും കണ്ടെത്തിയില്ലെങ്കിൽ main പട്ടികയിൽ എത്തുന്നു. ആ ക്രമത്തിൽ ഒന്നും ഏത് നിയമമാണ് അന്തിമ ഉത്തരം നൽകിയത് എന്ന് റിപ്പോർട്ട് ചെയ്യുന്നില്ല, അതിനാൽ പ്രവർത്തിക്കുന്ന ഒരു കണക്ഷൻ പ്രവർത്തിക്കുന്ന ഒരു നയം പോലെ തോന്നുന്നു.

പരമ്പരാഗതമായി default എന്ന് വിളിക്കുന്ന പട്ടിക 253 സാധാരണ റൂട്ടിംഗ് പട്ടികയാണ്, സാധാരണയായി ശൂന്യമായിരിക്കും. അതിന്റെ പേര് പാക്കറ്റുകൾ ഉപേക്ഷിക്കാനുള്ള നിർദ്ദേശമല്ല, പട്ടികയ്ക്കുള്ളിലെ ഡിഫോൾട്ട് ലക്ഷ്യ റൂട്ടിന് തുല്യവുമല്ല.

ടെർമിനൽ പ്രവർത്തനങ്ങൾ തിരയൽ അവസാനിപ്പിക്കുന്നു

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

ശൂന്യ പട്ടികയിലെ തിരയലിനുപകരം VPN തിരയലിനു ശേഷം ഒരു ടെർമിനൽ നിയമം വരാം. അതേ അടയാളത്തോടെ, പട്ടിക 42-ന്റെ നിയമത്തിനു ശേഷം സ്ഥാപിച്ച prohibit പ്രവർത്തനം, ആ പട്ടിക ഒന്നും നൽകാത്തപ്പോൾ തിരയൽ അവസാനിപ്പിക്കുകയും main പട്ടികയ്ക്ക് മറ്റൊരു അവസരം നൽകുന്നതിനുപകരം ഒരു ഭരണപരമായ നിരസിക്കൽ തിരികെ നൽകുകയും ചെയ്യുന്നു. Unreachable-ഉം blackhole-ഉം ടെർമിനലാണ്, അയയ്ക്കുന്നയാൾക്ക് വ്യത്യസ്ത പിശക് സ്വഭാവത്തോടെ.

throw തരം റൂട്ട് വ്യത്യസ്തമാണ്: ആ പട്ടികയ്ക്കുള്ളിൽ ഒന്നും പൊരുത്തപ്പെട്ടിട്ടില്ലെന്നപോലെ പ്രവർത്തിക്കുന്നു, അതിനാൽ പിന്നീടുള്ള നിയമങ്ങൾക്ക് ഇപ്പോഴും അവരുടെ ഊഴം ലഭിക്കുന്നു. അത് throw-നെ ബോധപൂർവമായ പിൻവാങ്ങലിന് ഉപയോഗപ്രദവും അന്തിമ തടയലായി തെറ്റുമാക്കുന്നു.

യഥാർത്ഥ അടയാളവും ഇന്റർഫേസും ഉപയോഗിച്ച് പരിശോധിക്കുക

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

ഡയഗ്രമിനുപകരം യഥാർത്ഥ നിയമങ്ങളും പട്ടികയും പരിശോധിക്കുക, തുടർന്ന് ഫ്ലോയെ അതിന് യഥാർത്ഥത്തിൽ ഉള്ള ഉറവിടം, അടയാളം, പ്രവേശന സന്ദർഭം എന്നിവയോടെ ചോദിക്കുക. ലക്ഷ്യത്തിലേക്ക് ലക്ഷ്യമിട്ട, ഉറവിട വിലാസം, ഇന്റർഫേസ്, അടയാളം എന്നിവ നൽകിയ വായന-മാത്ര തിരയൽ, പാക്കറ്റ് പുറത്തുപോകാതെ കെർണൽ തിരഞ്ഞെടുക്കുന്ന റൂട്ട് റിപ്പോർട്ട് ചെയ്യുന്നു. അന്വേഷണത്തിൽ അടയാളം നൽകുന്നത് firewall യഥാർത്ഥ ട്രാഫിക്ക് അടയാളമിടുന്നു എന്ന് തെളിയിക്കുന്നില്ല; അത് അടയാളമിടുന്ന നിയമങ്ങളുടെ പ്രത്യേക പരിശോധനയാണ്. അന്വേഷണത്തിൽ നിന്ന് നിഗമനങ്ങളിലെത്തുന്നതിന് മുമ്പ് കൗണ്ടർ അല്ലെങ്കിൽ ലോഗ് ഉപയോഗിച്ച് മൂല്യം സ്ഥിരീകരിക്കുക.

പ്രാദേശികമായി സൃഷ്ടിക്കുന്ന അഭ്യർത്ഥനകൾക്ക് സ്വന്തം സന്ദർഭം ആവശ്യമാണ്, കാരണം അവയുടെ അടയാളമിടൽ പാത കൈമാറ്റം ചെയ്യുന്ന ട്രാഫിക്കിന്റെ പാതയിൽ നിന്ന് പലപ്പോഴും വ്യത്യസ്തമാണ്. ആപ്പ് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന ഔട്ട്പുട്ട് ഇന്റർഫേസ് ഉപയോഗിച്ച് അവ പരിശോധിക്കുക.

രണ്ട് പരാജയ അവസ്ഥകൾ, ഒന്നല്ല

ഒരു പരാജയ അവസ്ഥ VPN റൂട്ട് അപ്രത്യക്ഷമാകുകയും ട്രാഫിക് uplink-ലേക്ക് വീഴുകയും ചെയ്യുന്നതാണ്. റൂട്ട് ഇൻസ്റ്റാൾ ചെയ്ത് അവശേഷിക്കുന്ന ഒരു മരിച്ച ടണൽ മറ്റൊന്നാണ്: പാക്കറ്റുകൾ വീഴുന്നതിനുപകരം ഉപയോഗശൂന്യമായ പാതയിലേക്ക് തുടർന്നും നയിക്കപ്പെടുന്നു, ലക്ഷണം കാണാവുന്ന നേരിട്ടുള്ള കണക്ഷനല്ല, നിശ്ശബ്ദ നഷ്ടമാണ്. രണ്ടും പരിശോധിക്കുക, കൂടാതെ സ്റ്റാർട്ടപ്പ്, വീണ്ടും കണക്റ്റ് ചെയ്യൽ, സേവന-നിർത്തൽ സ്വഭാവവും.

അത്തരം ഒരു നിയമം അത് നിലനിൽക്കുന്നിടത്തോളവും പാക്കറ്റുകൾ അതിനെ തിരഞ്ഞെടുക്കുന്ന അടയാളം ഇപ്പോഴും വഹിക്കുന്നിടത്തോളവും മാത്രമേ സഹായിക്കൂ. നിയമം ഇല്ലാതാക്കുന്ന ഷട്ട്ഡൗൺ സ്ക്രിപ്റ്റോ അടയാളം നീക്കുന്ന പാതയോ തുറന്ന സ്വഭാവം പുനഃസ്ഥാപിക്കുന്നു. ആ പരിവർത്തനങ്ങൾ പരിശീലിക്കേണ്ടതാണ്.

നയം IPv6-ൽ പ്രത്യേകമായി പ്രയോഗിക്കുക, അനുവദിച്ച എൻഡ്പോയിന്റ് ഒഴിവുകൾ സൂചിതമല്ലാതെ വ്യക്തമായി സൂക്ഷിക്കുക.