Mengapa laluan VPN yang dipadam kembali selepas menyambung semula

Laluan yang anda padam secara manual kembali selepas sambungan seterusnya, dan jadual kelihatan sama seperti sebelum ini. Ini bukan pepijat penghalaan: sesuatu mencipta semula entri daripada konfigurasi atau daripada tindakan kitaran hayat sambungan. Kebanyakan runbook berhenti pada jadual aktif, sebab itu pemadaman kelihatan berfungsi selama satu minit dan kemudian gagal. Kenal pasti pemiliknya, ubah itu, dan buktikannya semasa menyambung semula.

Siapa yang memasang laluan

Mulakan dengan senarai calon, bukan dengan pembetulan. Profil VPN boleh membawa laluannya sendiri, pelayan boleh menolaknya semasa menyambung, profil pengurus rangkaian boleh mengisytiharkannya, unit boot atau skrip boleh menambahnya, dan pelaksanaan IPsec memasang laluan untuk pemilih trafik yang dirundingkan. Peraturan penghalaan dasar juga boleh mengubah hala trafik sepenuhnya ke jadual lain.

Masa memisahkan mereka lebih cepat daripada arkeologi konfigurasi. Entri yang muncul pada saat antara muka naik milik klien; yang tiba satu saat kemudian biasanya datang daripada push pelayan; yang wujud semasa boot milik konfigurasi yang disimpan. Catat jadual sebelum dan selepas sambungan, pemutusan dan but semula, dan coraknya akan menamakan pemiliknya. Laluan yang hanya kembali apabila perkhidmatan dimulakan semula menunjukkan unit, bukan VPN.

Baca jadual sebelum mengeditnya

Lihat pandangan kernel itu sendiri, bukan fail yang disimpan. Lajur protokol menunjukkan apa yang memasang setiap entri:

ip route show
ip route show table all
ip rule show

Medan protokol, metrik dan nombor jadual memberitahu anda sama ada anda melihat entri statik, entri yang dicipta kernel atau sesuatu yang ditambah daemon. Senarai peraturan penting kerana carian boleh meninggalkan jadual utama sepenuhnya, yang menjadikan suntingan di sana tidak kelihatan kepada aplikasi yang sedang anda nyahpepijat. Baca baris dari kiri ke kanan: destinasi, gerbang, peranti, protokol dan metrik.

Kemudian tanya kernel laluan mana yang sebenarnya akan digunakannya. Alamat terlindung ialah kuar yang lebih baik daripada alamat awam:

ip route get 10.20.5.7

Ubah pemiliknya, bukan gejalanya

Sebaik sahaja pemiliknya diketahui, perubahan itu milik pemilik tersebut. Buang laluan daripada profil klien, betulkan laluan yang dihantar di pelayan, atau edit sambungan pengurus rangkaian dan bukannya menambah laluan berterusan pesaing yang menang mengikut metrik. Dua peraturan yang bertarung sesama sendiri menghasilkan jadual yang tiada siapa dapat menjelaskan kemudian.

Kekalkan pengecualian titik akhir. Laluan hos yang menghantar alamat awam pelayan VPN itu sendiri melalui gerbang fizikal ialah yang memastikan paket terowong luar terus mengalir; hapuskannya, dan terowong cuba membawa dirinya sendiri. Pada profil terowong berpecah, penjagaan yang sama terpakai kepada subnet tempatan yang sepatutnya memintas terowong.

Sambung semula dan sahkan kedua-dua laluan

Sambung semula, kemudian periksa kedua-dua destinasi dalam satu laluan. Alamat terlindung dan titik akhir yang dikecualikan menjawab soalan yang berbeza:

ip route get 10.20.5.7
ip route get 198.51.100.20

Yang pertama harus diselesaikan melalui antara muka terowong dan yang kedua melalui gerbang fizikal. Jika kedua-duanya diselesaikan melalui terowong, pengecualian tiada; jika tidak ada, perubahan profil tidak berkesan dan anda melihat pemilik yang berbeza daripada yang anda sangka.

Catat tujuan laluan, pemiliknya dan berapa lama ia harus hidup. Nota itulah yang menghalang orang seterusnya daripada mengulangi kitaran padam-dan-sambung-semula yang sama.