VPN клиент таны нэмсэн маршрутыг устгаж байна уу? Бодлогын хүснэгт ашиглана уу

Клиент өөрийн эзэмшдэг маршрутуудыг дахин баталгаажуулдаг тул гараар нэмсэн бичлэг секундын дотор алга болдог. Ялдаг дүрмийн тэргүүлэх чиглэлтэй бодлогын хүснэгтэд үл хамаарах зүйлийг хийнэ үү.

Лабораторийн принтерийн нэг /24 нь ip route show-ийн хоёр дуудлагын хооронд алга болж, клиент лог зөвхөн сүлжээ өөрчлөгдсөн гэж хэлдэг. Команд, угтвар эсвэл таны эрхэд ямар ч алдаа байгаагүй. Хостын маршрутчлалын загварыг эзэмшдэг корпорацийн клиент, өөр хэн нэгэн үүнийг засах бүрт тэр загварыг дахин баталгаажуулдаг тул таны нэмсэн бичлэг халдагч хэмээн устгагдана. Тэр хүснэгтэд түүнтэй тэмцэх нь хожигдсон байрлал юм. Шийдэл нь тэр хүснэгтийн төлөө өрсөлдөхийг бүрэн зогсоож, үл хамаарах зүйлийг хяналт хэзээ ч хардаггүй газарт байрлуулах явдал юм.

Хяналт алга болсон маршрутыг тайлбарладаг

Юу ч дахин зохион бүтээхээс өмнө үүнийг үзүүлээрэй: хүснэгтийг уншиж, угтварыг нэмж, хэдэн секунд хүлээгээд дахин уншина уу. Хэрэв бичлэг байхгүй бөгөөд түүнийг устгахын тулд юу ч бичээгүй бол ямар нэг агент хянаж байна. Тэр зан төлөвийг эзэмшдэг процессыг олж, маршрут алга болох мөчийн эргэн тойрон дахь журналыг уншина уу, учир нь ихэвчлэн мөн тэр үйлчилгээ тунель, пакет шүүлтүүр, resolver-ийн тохиргоог хадгалдаг. Маршрут тань үлдэхийн тулд түүнийг алах нь дараагийн дахин холбогдоход харамсах наймаа юм.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Дээрх угтвар ба интерфейс нь орлуулагч юм. Интерфейсийн нэрийг өөр машинд ажиллаж буй жишээнээс хуулах нь энэ үзүүлбэр огт юу ч өгөхгүй байх хамгийн түгээмэл шалтгаан юм.

Хоёр дахь хүснэгт хяналтад үл үзэгдэх

Агент зөвхөн өөрийн эзэмшдэг хүснэгтийг дахин бүтээдэг. Үл хамаарах зүйлд өөрийн хүснэгт болон тохирох очих газруудыг тийш илгээх дүрмийг өгвөл үндсэн хүснэгт хэзээ ч өөрчлөгдөхгүй, тиймээс агент засах зүйлгүй болно. Энэ бол бүхэл санаа: хэн нэгний хадгалдаг маршрутын нэг нэрийн орон зай, зөвхөн таны хүрдэг өөр нэг нь.

Наймаа бол засвар үйлчилгээ. Хоёр объект хоорондоо холдож болох бөгөөд жагсаалт дахь дүрмийн байрлал нь түүний сонгосон хүснэгт доторх маршруттай адил чухал.

Үл хамаарах зүйлийг бүтээгээд дараа нь ялуул

Хүснэгтийг үүсгэж, маршрутыг суулгаж, тухайн очих газарт хүснэгтийг сонгодог дүрэм нэмнэ үү. Тэргүүлэх чиглэл нь таны дүрэм клиентийн оруулсан дүрмүүдийн өмнө эсвэл дараа харагдахыг шийддэг бөгөөд дараа эрэмбэлэгдсэн дүрэмд хэзээ ч хүрдэггүй тул тоо нь чимэглэл биш, дизайны хэсэг юм. Дараа нь цөмөөс энэ нь үнэхээр юу хийхийг асуугаарай, энэ нь таны тохируулснаас өөр асуулт юм.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get нь цөмийн ашиглах маршрутыг шийддэг, үүнд төхөөрөмж болон эх хаяг багтана. Энэ нь хүснэгтийн танигчийг хэвлэдэггүй тул ip rule show-тэй хослуулаарай, аль хүснэгт ялсныг батлах шаардлагатай үед. Хамтдаа тэд цорын ганц чухал асуултад хариулна: тэр хаяг руу чиглэсэн урсгал таны хүссэн газраас гарч байна уу?

Ижил санааны бусад хэлбэрүүд

Очих газраар бодохоо болиход загвар ерөнхийлөгдөнө. Тунель үндсэн маршрутыг барьж байхад локал дэд сүлжээ хүртээмжтэй хэвээр байж болно. LAN-д холбогдсон SSH серверийн хариу тунельд алга болохын оронд ирсэн интерфейсээр гарч болно. Интерфейсэд суурилсан дүрэм нь утасгүй интерфейсээр ирж буй бүх зүйлийг тунель руу түлхэж, хост өөрөө үүсгэдэг урсгал Ethernet дээр үлдэж болно:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Сүүлийн тохиолдол нь очих газар биш, орж ирж буй интерфейстэй таарч байгаа бөгөөд энэ нь өөр төрлийн дүрэм, өөр сэтгэлгээний загвар юм. Дамжуулсан урсгалд net.ipv4.ip_forward идэвхжсэн байх шаардлагатай бөгөөд алслагдсан тал эх мужийг буцааж маршрутлах эсвэл орчуулах ёстой; нэг машин дээрх дүрэм замын нөгөө хагасыг хэзээ ч үүсгэхгүй.

Дүрмийг нэг удаагийнх гэж үзээрэй

Дүрэм болон хүснэгтийн маршрутууд санах ойд амьдардаг. Дахин холбогдсоны дараа тунелийн төхөөрөмжийн нэр өөрчлөгдөж, олгосон хаяг шилжиж, хуучин утгыг хадгалсан дүрэм чимээгүйгээр тохирохоо болино. Бүх өөрчлөлтийг түүнийг эзэмшдэг нэг скриптээс дахин хэрэглэж, дараа нь үл хамаарах зүйлд итгэхээс өмнө ip rule show, одоогийн төхөөрөмжийн нэр, шинэ ip route get-г бодит очих газартай тулган дахин шалгаарай.

Хичнээн болгоомжтой байсан ч хоёр хил хязгаар үлддэг. Клиент өөрийн шүүлтүүрийн дүрэм, resolver-ийн тохиргоог хянаж хэвээр байгаа бөгөөд маршрутчлалын үл хамаарах зүйл аль нэгийг нь ч дарж чадахгүй. Хэрэв клиент таны бодлогын дүрмийг ч устгавал дэмжигдэх зам нь түүний өөрийн хуваагдсан тунелийн бодлого эсвэл OpenConnect зэрэг маршрутыг удирдахыг зөвшөөрдөг клиент юм; нийлүүлэгчийн бинарыг хяналтыг нь дуугүй болгохын тулд засах нь бүрэн бүтэн байдлын шалгалттай хамт ирэх засварын үүрэг юм.

Хүснэгтийн дугаар, тэргүүлэх чиглэл, очих газрыг скриптийн хажуугийн тэмдэглэлд бичээрэй. Эс бөгөөс дараагийн хүн тунелийг давамгайлсан дүрэм олж, яагаад гэдгийг мэдэх аргагүй болно.

Холбоотой нийтлэлүүд