Indirizz peer PPP kontra endpoint VPN: liema jmur f'via

Qabbel il-qari ta' interface PPP bħala subnet ma' qari tal-inet u l-peer tiegħu bħala żewġ endpoints tal-link, u ara liema next hop tabella tal-policy tista' taċċetta.

Linja waħda fuq interface PPP issolvi ħafna mill-argument tar-routing fuq box VPN: l-indirizz ta' ġewwa u l-peer stampat ħdejh. Aqra dak il-par bħala subnet żgħir u se tfittex gateway li ma jeżistix. Aqrah bħala ż-żewġt truf ta' link wieħed u l-next hop isir ovvju. Il-paragun hawn hu bejn dawk iż-żewġ qarijiet, għax kull tabella li tibni wara tirret dak li għażilt. Xejn dwar l-endpoint VPN ta' barra mhu deċiż minn ebda wieħed minnhom.

Żewġ qarijiet ta' linja waħda tal-interface

Ħu sessjoni fejn l-interface tirrapporta inet 10.64.3.9 peer 10.64.3.1/32. Il-qari tas-subnet jittratta 10.64.3.9 bħala host waħdu fuq gżira /32 u mbagħad ifittex router biex jilħaq xi ħaġa lil hinn minnha. Peress li l-uniku indirizz ieħor fuq il-linja hu l-peer, dak il-qari jispiċċa jipproponi 10.64.3.9 innifsu bħala gateway, li hu ċirkulari.

Il-qari tal-endpoint huwa dak dokumentat. Fuq interface point-to-point, peer isemmi t-tarf imbiegħed ta' dak il-link wieħed, għalhekk 10.64.3.1 hu l-next hop użabbli u 10.64.3.9 dejjem biss indirizz tas-sors.

Dik id-differenza tiggverna x'jista' jidher f'via. Li tikteb l-indirizz lokali hemmhekk jipproduċi rotta li l-kernel ma jistax isolvi għal neighbour, għalhekk id-dħul jew ifalli fil-validazzjoni jew jibla' traffiku waqt li jidher perfettament b'saħħtu f'lista. Il-peer jaħdem għax hu destinazzjoni reali fuq il-link. Iż-żewġ qarijiet jaqblu dwar l-endpoint VPN ta' barra, li hija identità totalment separata: jintlaħaq mill-underlay, mhux mill-tunnel li jtemm.

X'għamlet diġà s-sessjoni

Qabel ma tikteb xi tabella tiegħek, ipprintja dak li ġie mal-link. Integrazzjoni PPP appoġġata normalment tinstalla device route u peer route waqt is-setup tas-sessjoni, u dawk iż-żewġ dħuliet diġà jikkodifikaw il-qari korrett.

ip -4 addr show dev ppp0
ip route show dev ppp0
ip route show table main | head -n 5

Device route bħal 10.64.3.1 dev ppp0 proto kernel scope link src 10.64.3.9 ma jġorr l-ebda gateway għax l-interface nnifisha hija l-passaġġ. Rotta li ssemmi l-peer b'via hija oġġett ieħor b'ħajja differenti, u tisparixxi meta s-sessjoni taqa'. L-ikkupjar ta' waħda miż-żewġ forom f'tabella persistenti mingħajr ma tiċċekkja kif terġa' tiġi installata huwa r-raġuni tas-soltu li tunnel li jaħdem jitlef ir-rotta tiegħu wara rikonnessjoni.

Qabbel iż-żewġ listi minflok ma tafda l-memorja. Jekk il-peer route teżisti f'main imma t-tabella żejda tiegħek hija vojta, tkun tgħallimt xi ħaġa li l-linja tal-indirizz qatt ma qaltlek.

Regola u tabella huma deċiżjonijiet separati

L-għażla ta' tabella u l-mili tagħha huma passi indipendenti, u l-paragun jgħodd hawn għax it-tnejn ta' spiss jiġu konfużi waqt id-debugging. Regola li tibgħat traffiku mmarkat għal tabella 100 ma tagħmel xejn jekk tabella 100 m'għandhiex rotta li taqbel, u tabella mimlija tajjeb ma tintlaħaqx jekk l-ebda regola ma tipponta lejha.

Nofs default route mhuwiex default route. 0.0.0.0/1 wieħed ikopri n-nofs t'isfel tal-ispazju IPv4, għalhekk policy li biħsiebha taqbad kollox teħtieġ ukoll l-128.0.0.0/1 li taqbel, jew default ġenwin. Li taqra konfigurazzjoni li taħdem u tikkupja wieħed miż-żewġ nofsijiet huwa kif in-nies jispiċċaw b'routing loop li tinqasam biss fuq ċerti destinazzjonijiet.

Ħalli eċċezzjonijiet deliberati għall-indirizzi li jridu jibqgħu fuq il-LAN, u iddeċiedi x'jiġri meta t-tfittxija ma ssib xejn fit-tabella magħżula. Rotta ta' fallback espliċita hija aktar faċli biex tirraġuna dwarha minn tabella vojta, li tirritorna riżultat unreachable u tagħmel l-applikazzjoni tidher miksura aktar milli rrutata ħażin.

Staqsi t-tfittxija l-mistoqsija li tistaqsi l-applikazzjoni tiegħek

ip route get issolvi passaġġ; ip route show telenka dħuliet maħżuna, u t-tnejn jistgħu ma jaqblux mingħajr ma xi wieħed ikun żbaljat. Inkludi l-kuntest tas-sors, għax regoli bbażati fuq is-sors jaqblu biss meta t-tfittxija ġġorr sors.

ip route get 198.51.100.23 from 10.64.3.9
ip route get 198.51.100.23 from 10.64.3.9 iif ppp0
ip -4 rule show

L-ewwel kmand jistaqsi l-mistoqsija mill-host. It-tieni jżid interface tad-dħul, li hu eqreb lejn dak li jesperjenza traffiku mgħoddi 'l quddiem, u t-tweġiba spiss tipponta lejn tabella differenti. L-ebda destinazzjoni mhija servizz tat-test ħaj; 198.51.100.23 hu indirizz tad-dokumentazzjoni, għalhekk ibdel bi host li inti permess tipprova.

Anke tfittxija korretta tipprova biss li ntgħażel passaġġ. Ma tgħid xejn dwar jekk in-naħa l-oħra taċċettax it-traffiku jew jekk it-tweġiba tistax terġa' lura bl-istess raġunament.

Fejn il-paragun jaqleb

Traffiku tal-host u traffiku mgħoddi 'l quddiem mhux biss jieħdu tfittxijiet differenti; jiltaqgħu ma' filtri differenti fit-triq lura. Linux japplika reverse-path validation bl-aktar stretta mis-settings tal-all-interface u tal-interface li tirċievi, għalhekk bidla fil-valur ta' interface wieħed jista' ma jkollha l-ebda effett viżibbli. Routing ibbażat fuq il-mark jiżid ir-relazzjoni src_valid_mark, fejn il-mark irid jaqbel biex sors jitqies validu.

Jekk it-tweġibiet jisparixxu waqt li r-routing 'il barra jidher tajjeb, aqra l-valuri effettivi qabel ma tmisshom, u ibdilhom biss b'raġuni tal-policy iddikjarata.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.ppp0.rp_filter
sysctl net.ipv4.conf.all.src_valid_mark

Agħżel bejn iż-żewġ disinji fuq evidenza: jekk l-applikazzjoni torbot mal-indirizz PPP, regola tas-sors flimkien ma' tabella li żżomm il-peer route hija biżżejjed. Jekk il-box tgħaddi 'l quddiem għal LAN warajh, għandek bżonn ukoll li l-kuntest tad-dħul u t-triq lura jaqblu. Meta ma jaqblux, sewwi s-sjieda tar-rotta minflok ma tħoll il-validazzjoni għall-magni kollha.

Artikli relatati