It-tweġiba toħroġ mil-LAN, mhux mill-mina: għaliex u kif

Servizz ippubblikat permezz ta' gateway jaħdem minn ħafna mill-internet u jonqos minn uffiċċju wieħed. Xi ħadd jiċċekkja l-mina, jara t-talba tasal u jikkonkludi li t-tweġiba trid tmur lura mill-istess triq. Linux ma jaħdimx hekk, u l-ebda spezzjoni tal-mina mhi se tbiddel it-tweġiba. It-tweġiba hija rrutata skont id-destinazzjoni, u dak il-wieħed sejjieħ li jonqos jinsab f'sottorete li l-host diġà jilħaq b'mod dirett.

X'jiġi biex jiddeċiedi pakkett li joħroġ

Il-kernel ifittex rotta għad-destinazzjoni tal-pakkett, jagħżel ir-regoli tal-politika fl-ordni ta' prijorità u mbagħad it-tabella li tagħżel regola li taqbel. L-interface li minnha wasal pakkett m'għandha l-ebda rwol, sakemm ma nkitbitx regola jew marka biex tagħmilha importanti. Dan huwa fatt ta' routing ta' dan il-host, mhux difett fil-mina.

Għalhekk talba li tasal mill-mina tista' tipproduċi tweġiba li toħroġ mill-interface fiżika, u l-fluss isir f'direzzjoni waħda mingħajr ebda apparat jirrapporta żball. Iċċekkja ż-żewġ direzzjonijiet qabel ma tasal għal konklużjoni dwar il-mina. Tweġiba li toħroġ il-mod il-ħażin tisparixxi mill-counter tal-mina, u għalhekk iż-żewġ truf ma jaqblux dwar jekk intbagħatx xi ħaġa. Innota liema counter mexa qabel ma tmiss regola.

Għaliex tirbaħ is-sottorete lokali

Host b'indirizz fuq netwerk lokali għandu rotta konnessa għal dak il-prefiss fit-tabella prinċipali, u rotta konnessa hija qbil dirett. Meta s-sejjieħ jiġi mill-istess sottorete, it-tfittxija ssib il-link lokali qabel ma l-mina tiġi kkunsidrata.

Hija l-asimmetrija li tagħmel id-dijanjosi konfuża. Is-sejjieħa mill-internet usa' jaħdmu għax ma jaqblux ma' ebda rotta lokali, filwaqt li l-uniku sejjieħ li jaqsam il-prefiss tal-uffiċċju jonqos, u dan huwa eżattament is-sejjieħ li bih xi ħadd jittestja.

Il-kopertura tal-peer mhix l-istess bħar-rotot installati

Fuq in-naħa tal-mina, il-meded permessi ta' peer jiddeskrivu x'jista' jintbagħat fil-mina u liema sorsi jiġu aċċettati minnha. Huma ma jgħidu xejn dwar fejn it-tabella tar-routing lokali se tibgħat pakkett.

Jekk l-għodda tal-mina tinstalla rotta default fuq il-host, tista' tiġbed traffiku mhux relatat fil-mina bħala ħsara kollaterali. Fejn minflok regola tal-politika għandha jkollha d-deċiżjoni, l-għażla tal-installazzjoni tar-rotot tal-għodda teżisti eżattament biex tipprevjeni dan, u l-indirizzi, iċ-ċwievet u s-settings tal-endpoint jibqgħu eżattament kif kienu. Rotta default miżjuda għall-konvenjenza hija mod komuni kif host jitlef in-netwerk lokali tiegħu stess.

Agħżel it-tabella skont l-indirizz tas-sors

Regola bbażata fuq is-sors tibgħat it-tweġibiet mill-indirizz tas-servizz f'tabella privata li l-valur default tagħha huwa l-mina, filwaqt li kollox ieħor ikompli juża t-tabella prinċipali. Agħżel numri ta' tabella u ta' prijorità li mhumiex użati lokalment, u aqra r-regoli eżistenti qabel ma ddaħħal xi ħaġa. Aqra r-regoli ħajjin minflok fajl salvat, għax it-tnejn jistgħu jvarjaw wara reboot.

ip -6 route add default dev wg0 table 200
ip -6 rule add priority 32000 from 2001:db8:aa::20/128 lookup 200
ip -6 rule add priority 32001 from 2001:db8:aa::20/128 unreachable

L-aħħar linja tagħmel rotta nieqsa tfalli b'mod viżibbli minflok taqa' lura għal-link lokali. Is-sors irid ikun tassew assenjat lill-host, u t-tfittxijiet lokali u prinċipali tas-soltu jridu jibqgħu fil-pożizzjonijiet preċedenti tagħhom. Ir-regola tagħżel tabella skont is-sors; ma tqabbelx it-tulijiet tal-prefiss bejn it-tabelli.

Ikkonferma l-mogħdija, imbagħad is-servizz

Staqsi lill-kernel x'kien jagħmel minflok ma tislet mill-qabda, billi tuża l-indirizz tas-servizz bħala selettur tas-sors. Tweġiba tajba hawn tiffranka traċċa sħiħa tal-pakketti.

ip -6 route get 2001:db8:bb::30 from 2001:db8:aa::20

L-output għandu jsemmi l-mina. Imbagħad ipprova sors li ma messixt u kkonferma li għadu jieħu l-link lokali, biex il-bidla tibqa' limitata għal indirizz wieħed. Selettur usa' ma jipprovax xejn dwar l-ilment oriġinali.

X'ma jsewwix dan

Ħalli l-forwarding, ir-regoli tal-firewall u l-imġiba tal-ICMPv6 fuq il-gateway kif kienu, għax rotta tas-sors ma tissostitwixxi xejn minnhom. Messaġġ Packet Too Big nieqes għadu jkisser tweġibiet kbar, tkun liema tabella li rebħet it-tfittxija. Issewwi dan qabel ma żżid regoli tar-routing, inkella s-sintomu jibqa' wara l-bidla.

Ikkonferma l-mudell tal-pubblikazzjoni qabel ma tapplika xi ħaġa minn dan. Proxy maqlub li jiftaħ il-konnessjoni backend tiegħu jippreżenta s-sors tiegħu u ma jippreservax lis-sejjieħ, għalhekk dan id-difett ma jistax iseħħ f'dak id-disinn. L-applikazzjoni tar-regola hemmhekk iżżid eċċezzjoni tar-routing li ma ssolvi xejn u taħbi l-kawża vera.

Fl-aħħar, ikteb in-numri tar-regoli u t-tabella fil-ġestjoni tal-konfigurazzjoni tal-host. Regola tal-politika miżjuda bl-idejn tisparixxi fil-bini mill-ġdid li jmiss, u s-sejjieħ tal-uffiċċju jerġa' lura bl-istess ilment.