X'inhu jbiddel ir-routing skont il-politika fit-traffiku VPN, u x'inhu le

Ir-routing skont il-politika jwieġeb mistoqsija differenti minn dik li jistaqsu l-biċċa l-kbira tan-noti tat-troubleshooting. It-tabella prinċipali tgħid fejn tmur destinazzjoni; ir-regoli tal-politika jgħidu liema tabella hija kkonsultata xejn, u jistgħu jiddeċiedu dan mill-indirizz tas-sors, minn marka tal-pakkett, jew mill-interface li wasal fuqha pakkett. Meta tunnel iġib ruħu b'mod inkonsistenti, is-sett ta' regoli spiss ikun ir-raġuni u t-tabella tar-routing spiss ma tkunx.

Ir-regoli jagħżlu t-tabella, imbagħad it-tabella tagħżel ir-rotta

Kull regola ġġorr prijorità, kundizzjoni ta' qbil u tabella fil-mira. Il-kernel javvja r-regoli fl-ordni ta' prijorità u jieqaf fl-ewwel qbil, imbagħad jagħmel tfittxija ordinarja tal-itwal prefiss f'dik it-tabella. Regola li tindika tabella vojta taqa' għal dak li tagħżel ir-regola li jmiss, u hekk regola miktuba b'attenzjoni tista' tidher li ma tagħmel xejn.

Għalhekk it-tabella prinċipali rarament tispjega klijent VPN li jaħdem. Il-klijenti normalment iddaħħlu regoli fuq numri baxxi ta' prijorità, ħafna qabel ir-regola default tat-tabella prinċipali, għalhekk il-pakkett qatt ma jasal għar-rotta li kont qed tħares lejha. It-tnaqqis ta' metrika fit-tabella prinċipali ma jbiddel xejn għat-traffiku li kien diġà ddawwar.

Regola tista' wkoll b'mod intenzjonat tagħmel prefiss toqba sewda jew mhux aċċessibbli. Xi klijenti jżidu regola bħal din bħala kill switch, u mbagħad it-twaqqigħ jidher bħal tunnel imkisser aktar milli konfigurat.

Aqra s-sett ta' regoli bħala sekwenza, mhux bħala lista

Ipprintja r-regoli bil-prijoritajiet tagħhom u t-tabelli li jirreferu għalihom, imbagħad ipprintja kull tabella li ġġorr rotta default jew rotta tat-tunnel. L-ordni hija l-parti li timporta, u hija l-parti li screenshot normalment iħalli barra:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

L-aħħar żewġ kmandi huma dawk li jbiddlu teorija f'osservazzjoni, għax jistaqsu x'jgħamel il-kernel għal dak is-sors u dik il-marka. Jekk it-tweġiba tinbidel meta tinbidel il-marka, hemm regola bbażata fuq il-marka fis-seħħ u kull test li jħalli barra l-marka qed jittestja pakkett differenti. Il-konnessjoni ta' barra tistħoqq regola tagħha. Tunnel li jġib it-traffiku kollu minn ġo fih għandu jeskludi l-indirizz tal-punt tat-tarf li miegħu jikkonnettja, inkella l-pakketti encrypted jintbagħtu lura fit-tunnel li għadhom kemm telqu. Il-biċċa l-kbira tal-klijenti iddaħħlu dak l-esklużjoni awtomatikament, u sett ta' regoli editjat bl-idejn huwa l-post fejn din tonqos.

Marki u sockets: żewġ modi kif il-klijenti jaqsmu t-traffiku

Xi klijenti jimmarkaw pakketti fil-firewall u jżidu regola li taqbel mal-marka. Oħrajn jużaw routing fil-livell tas-socket, u jqiegħdu rotta fuq is-socket qabel ma jikkonnettja. L-ewwel wieħed jidher fi ip rule; it-tieni le, u mhux se jidher fi tfittxija ġenerali.

Jekk programm tat-test iġib ruħu b'mod differenti mill-applikazzjoni li suppost jirrappreżenta, iċċekkja jekk l-applikazzjoni tqiegħedx marka jew torbotx ma' apparat. Dik id-differenza mhix misteru ladarba l-mekkaniżmu jismu, u tispjega għaliex curl minn shell u tab tal-browser jistgħu jieħdu toroq differenti fl-istess magna. Iż-żewġ tekniki huma routing skont il-politika fis-sens wiesa': jagħżlu triq b'xi ħaġa li mhix id-destinazzjoni. L-ebda waħda minnhom ma tawtorizza t-traffiku, u l-ebda waħda ma tissostitwixxi r-regoli tal-firewall jew il-kredenzjali li jistenna l-pari.

Segwi s-sjieda qabel iżżid regola oħra

Ir-regoli jinstallahom xi ħaġa. Klijent VPN, maniġer tan-netwerk u script miktub bl-idejn jistgħu kull wieħed iżidu regoli fil-bidu, u l-loġika ta' rikonnessjoni tista' tħalli s-sett preċedenti warajha. Żewġ regoli qodma minn profil preċedenti se jkomplu jidderieġu t-traffiku ħafna wara li l-profil jitħassar.

Sib liema proċess jippossjedi r-regola mill-prijorità u l-għamla tagħha, u ċċekkja jekk dak is-sidx jistrixxi s-sett f'kull konnessjoni. Jekk jagħmel hekk, regola manwali miżjuda llum tisparixxi għada, u l-korrezzjoni tappartjeni għall-konfigurazzjoni tal-klijent u mhux għal fajl tal-istorja tas-shell. It-tindif tas-sett kollu ta' regoli għall-prova huwa shortcut tentanti b'kost prevedibbli: ineħħi wkoll ir-regoli li l-klijent jeħtieġ biex iżomm it-tunnel tiegħu stess jaħdem. Ħassar regola waħda kull darba, jew ittestja fuq magna li tista' terġa' tibda.

Ipprova l-ambitu b'żewġ flussi, mhux b'wieħed

Korrezzjoni tiġi verifikata biss b'fluss li suppost jiġi affettwat u b'fluss li ma suppostx. Agħżel destinazzjoni li l-politika tirrotta fit-tunnel, u waħda li trid tibqa' barra, imbagħad qabbel it-tfittxijiet u l-qabdiet għaż-żewġ:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Meta ż-żewġ tfittxijiet jirritornaw interfaces differenti, ir-regola qed tagħmel xi ħaġa. Meta jirritornaw l-istess interface, ir-regola taqbel iktar wiesgħa milli kien maħsub, u dan huwa l-falliment li bil-kwiet jibgħat subnet sħiħ minn tunnel maħsub għal applikazzjoni waħda.

Irreġistra l-prijoritajiet tar-regoli u s-servizz li jippossjedihom fit-ticket, flimkien maż-żewġ indirizzi tal-prova. Imbagħad il-persuna li jmiss ikollha par riproduċibbli minflok deskrizzjoni ta' sintomu, u tista' tgħid fi ftit minuti jekk ir-routing skont il-politika għadux fis-seħħ.