Mengapa laluan hos /32 mengekalkan titik hujung VPN boleh dicapai

Anda membuka jadual penghalaan selepas bersambung dan menemui satu alamat dihalakan melalui terowong sementara subnet di sekelilingnya masih menuju get laluan tempatan. Entri itu ialah laluan hos: satu alamat, dipadankan oleh awalan semua satu. Ia penting kerana keputusan penghalaan menggunakan awalan padanan terpanjang, jadi /32 boleh mengatasi /24 atau laluan lalai tanpa mengubah mana-mana daripadanya. Sama ada itu pengecualian yang teliti atau gangguan masa depan bergantung pada alamat yang dinamakannya dan siapa yang menyelenggaranya.

Satu alamat, satu entri dalam jadual

Laluan hos IPv4 membawa awalan /32 dan laluan hos IPv6 membawa /128, bermakna entri itu boleh memadankan tepat satu alamat destinasi. Tiada apa-apa lagi dalam jadual bergerak: subnet yang menutupinya dan laluan lalai kekal di tempatnya. Entri sempit menang untuk alamat itu kerana awalannya lebih panjang, bukan kerana ia ditambah kemudian.

Sifat itu menjadikan laluan hos pengecualian yang baik dan tabiat yang buruk. Dua entri /32 yang menamakan pintu depan sesuatu perkhidmatan tidak meliputi alamat keduanya, alamat IPv6-nya atau alamat yang dituju bulan depan. Jadual penuh entri satu alamat tanpa penjelasan biasanya bermaksud seseorang terus menampal di sekeliling keputusan subnet dan bukannya membuatnya. Baca dahulu panjang awalan, kemudian tanya apa yang sepatutnya dilindungi entri itu.

Baca entri dari klien ke luar

Mulakan dari mesin yang bermasalah, kerana alamat yang sama boleh dihalakan secara berbeza pada komputer riba dan pada get laluan di hadapannya. Tanya kernel laluan mana yang akan dipilihnya untuk alamat tepat yang digunakan aplikasi, dan bukannya membaca jadual dari atas. Jawapannya termasuk antara muka dan hop seterusnya, yang bersama-sama merupakan keputusan itu.

ip route get 203.0.113.25
ip -6 route get 2001:db8:4::25
ip route show | grep -F 203.0.113.25
Find-NetRoute -RemoteIPAddress 203.0.113.25

Ulangi pertanyaan untuk keluarga alamat yang benar-benar dipilih aplikasi, kerana klien boleh mengutamakan IPv6 dan memintas pengecualian IPv4 secara senyap. Bandingkan hasil sebelum dan selepas terowong naik, dan simpan kedua-dua output. Perbandingan itu menunjukkan sama ada klien menambah entri semasa bersambung atau entri itu memang sudah ada.

Entri kekal dan entri masa jalan gagal secara berbeza. Entri masa jalan hilang bersama sesi, manakala yang kekal bertahan selepas but semula dan terus menghantar trafik ke get laluan yang tidak lagi wujud.

Pengecualian titik hujung dan perangkap rekursi

Klien VPN biasanya memasang laluan hos ke alamat luar pelayan melalui get laluan asal sebelum mengubah hala laluan lalai. Tanpa entri itu, paket tersulit akan dihantar ke dalam terowong yang mereka cuba bina, dan sambungan akan berulang sehingga masa tamat.

Perangkap muncul apabila subnet yang diterima terowong kebetulan merangkumi alamat titik hujung itu, atau apabila profil kedua menambah laluan yang lebih luas selepas itu. Entri titik hujung kemudian kalah kepada awalan yang lebih panjang dan sesi runtuh sebaik sahaja mula melepaskan trafik. Menulis alamat titik hujung di sebelah subnet yang diterima ialah cara paling murah untuk menyedari pertembungan sebelum pengguna. Ia juga menjelaskan mengapa profil yang sama berfungsi dari satu rangkaian dan gagal dari rangkaian lain.

Sahkan laluan yang benar-benar digunakan aplikasi

Ping berjaya ke nama hos ialah bukti lemah apabila aplikasi bersambung ke alamat lain atau keluarga lain. Sahkan gabungan tepat alamat, keluarga, port dan antara muka, dari mesin yang menjalankan klien.

ip route get 203.0.113.25
sudo nft list ruleset | grep -A 4 'chain output'
curl -sS --max-time 8 -o /dev/null -w '%{remote_ip}
' https://app.example.net

Jika laluan itu salah, tentukan sama ada keperluannya rangkaian atau satu alamat sebelum menyunting apa-apa. Keperluan satu alamat mewajarkan laluan hos dengan komen dan pemilik; perkhidmatan dengan alamat berputar memerlukan penghalaan berasaskan domain atau keputusan subnet yang jujur.

Buang entri yang tidak lagi memetakan ke destinasi sebenar dan catat yang anda kekalkan. /32 tanpa penjelasan tidak dapat dibezakan daripada pepijat tiga bulan kemudian, dan orang seterusnya akan memadamnya tanpa mengetahui apa yang bergantung padanya.