Tabella tar-rotta mqabbla mar-riċerka attwali: fejn tmur it-traffiku tal-VPN

Ibda minn destinazzjoni waħda u s-sors tagħha, imbagħad iċċekkja liema regola u tabella fil-fatt jiddeċiedu l-mogħdija. Dump sħiħ tat-tabella mingħajr dak il-kuntest iqarraq.

Dump tat-tabella tar-rotta huwa l-inqas dijanjosi utli fl-issolviment tal-problemi tal-VPN u l-aktar li jiġi pejstjat. Erbgħin linja ta' prefissi jgħidulek x'kienet tista' tagħmel il-magna, mhux x'għamlet għat-talba li falliet. Il-mekkaniżmu li inti verament trid huwa r-riċerka: meta jingħata dan is-sors u din id-destinazzjoni, liema regola qabblet, liema tabella ġiet ikkonsultata, u liema interface u l-qabża li jmiss ħarġu. Ibda minn destinazzjoni waħda u sors wieħed, imbagħad aqra t-tabella b'dik il-mistoqsija f'idejk, u l-istess output isir evidenza minflok storbju.

Tabella hija sett ta' kandidati, mhux deċiżjoni

Kull entrata tiddeskrivi prefiss u x'għandu jsir mat-traffiku li jaqbel miegħu: ibgħatha lil interface, għaddiha lill-qabża li jmiss, jew warrabha. Xejn f'dik il-lista mhu ordnat skont l-intenzjoni, u l-entrata li tidher l-aktar speċifika għal bniedem mhix dejjem dik li tagħżel il-qalba, għax l-għażla ssegwi l-akbar qbil ta' prefiss u, fost prefissi ugwali, il-metrika.

Għalhekk l-ewwel pass huwa li tistaqsi lill-qalba minflok taqra l-lista. Il-kmand tar-riċerka jwieġeb għal destinazzjoni, u b'argument tas-sors iwieġeb għall-par eżatt li kien juża konnessjoni mgħoddija jew marbuta:

ip route get 198.51.100.10
ip route get 198.51.100.10 from 10.80.0.25
ip -6 route get 2001:db8:10::40

Kull indirizz hawn fuq huwa eżempju ta' dokumentazzjoni. Il-punt huwa l-forma tar-risposta: interface, indirizz tas-sors magħżul, gateway, u t-tabella li minnha ġiet l-entrata. Jekk dak l-output ma jaqbilx mal-interface li kont qed tistenna, tkun illokalizzajt il-problema b'kmand wieħed, u l-ebda ammont ta' qari tat-tabella sħiħa ma kien jgħidlek liema kandidat rebaħ.

Ir-riċerka tgħaddi mill-regoli, imbagħad mit-tabelli

Fuq Linux id-deċiżjoni hija f'żewġ stadji. Ir-regoli tal-politika jiġu evalwati bl-ordni ta' prijorità, u l-ewwel regola li taqbel issemmi tabella biex tiġi kkonsultata; dik it-tabella mbagħad tagħmel l-akbar qbil ta' prefiss. Regola tista' taqbel fuq is-sors, id-destinazzjoni, il-marka tal-firewall, l-interface jew kombinazzjoni, u għalhekk dump tat-tabella prinċipali jista' jkun perfettament preċiż u kompletament irrilevanti għall-pakkett li qed tinvestiga.

ip rule show
ip route show table all | head -40
ip route show table 100

Jekk regola tibgħat traffiku mill-pool tal-VPN tiegħek lejn it-tabella 100, allura t-tabella 100 hija dik li timporta, u it-tabella prinċipali hija t-trappola. Dan huwa wkoll il-mekkaniżmu wara r-rotta bbażata fuq is-sors fuq router: l-istess destinazzjoni jista' jkollha żewġ tweġibiet differenti skont minn fejn ġie l-pakkett, u biss ir-riċerka b'argument tas-sors turi liema waħda tapplika.

IPv6 għandu r-regoli u t-tabelli tiegħu stess. Disinn li jħaddem iż-żewġ familji jeħtieġ iż-żewġ riċerki, u tweġiba tal-IPv4 li taħdem ma tgħid xejn dwar il-mogħdija v6 li klijent b'żewġ stacks jista' jippreferi.

X'jinstalla l-klijent tal-VPN

Il-klijenti normalment ma jissostitwixxux ir-rotta default, għax dan ikisser il-mogħdija ta' barra tat-tunnel stess. Huma jinstallaw xi ħaġa iktar speċifika li tirbaħ bil-tul tal-prefiss: par ta' nofs-default li jkopru 0.0.0.0/1 u 128.0.0.0/1 hija l-ingann klassiku, għax it-tnejn huma prefissi itwal minn 0.0.0.0/0 u flimkien ikopru l-ispazju kollu. Oħrajn jinstallaw prefissi privati speċifiċi flimkien ma' regola tal-politika, u xi wħud iżidu marka biex jinqabad biss it-traffiku magħżul.

Għalhekk "il-VPN ma bidlitx ir-rotta default tiegħi" mhix prova ta' falliment. Iċċekkja x'żiedet fil-fatt, u jekk id-destinazzjoni in kwistjoni taqax f'dawk il-prefissi:

ip route show | grep -E 'tun|wg|ppp|ipsec'
ip route get 10.20.30.40 from 10.80.0.25

Żewġ nofs-rotti huma faċli li jintilfu f'dump għax ma jidhrux bħal default. Konfigurazzjoni ta' split-tunnel li nsejt tinkludi prefiss tipproduċi eżatt is-sintomu li qed tiġri wara: l-applikazzjoni li messha tuża t-tunnel minflok issolvi u tikkonnettja lokalment. Qabbel il-prefissi installati mad-destinazzjonijiet li l-utent verament jeħtieġ, mhux mal-indirizzi li kont qed tittestja b'kumbinazzjoni. Lista ta' split-tunnel li tkopri s-server tal-fajls imma mhux is-solver tiegħu tipproduċi konnessjoni li tissolva għal indirizz pubbliku u mbagħad tfalli fl-awtentikazzjoni, li tidher bħala problema ta' password u hija problema ta' rotta.

Ir-rotta ta' barra trid tibqa' ħajja wkoll

It-tunnel huwa nnifsu traffiku. Il-pakketti li jġorru l-payload inkapsulat imorru lejn l-indirizz tal-peer fuq l-interface fiżika, u dik il-mogħdija ma tridx tiġi routed lura fit-tunnel. Meta jiġri, tikseb il-falliment karatteristiku fejn it-tunnel jistabbilixxi u mbagħad jieqaf jgħaddi t-traffiku, għax it-trasport għat-tunnel issa qiegħed ġewwa t-tunnel.

Iċċekkja l-indirizz tal-peer kif iċċekkjajt id-destinazzjoni ta' ġewwa, u kkonferma li jissolva għall-interface fiżika u mhux għat-tunnel:

ip route get 203.0.113.10
traceroute -n -m 5 203.0.113.10

Rotta rekursiva, regola tal-politika li taqbad il-peer, jew default li ġie sostitwit minn klijent ta' tunnel sħiħ huma t-tliet kawżi tas-soltu. It-tlieta jidhru fir-riċerka ta' barra, u ħadd minnhom ma jidher f'dump tat-tabella prinċipali meħud wara l-fatt.

X'ma jistax jgħidlek l-output tar-rotta

Riċerka korretta tfisser li l-qalba tibgħat il-pakkett f'post sensibbli. Ma tfissirx li l-firewall jippermettih, il-politika tal-IPsec tkoprih, ir-regola tan-NAT tittraduċih, jew in-naħa remota jkollha rotta tar-ritorn. Kull waħda minn dawn hija stadju iktar tard, u in-noti tal-ipproċessar tal-strongSwan jiddeskrivu l-katina li pakkett irid jgħaddi minnha fiż-żewġt itruf.

Ma jqisx ukoll l-irbit fil-livell tal-applikazzjoni. Proċess jista' jorbot ma' interface, jistabbilixxi marka, jew juża s-solver tiegħu stess u jikkonnettja b'isem li jissolva b'mod differenti minn dak li ttestjajt. Meta r-riċerka tkun korretta u l-konnessjoni xorta tfalli, il-mistoqsija li jmiss hija liema proċess qed jagħmilha u jekk dak il-proċess jarax l-istess tabella li tara inti.

Għalhekk żomm id-dijanjosi ordnata: semmi d-destinazzjoni u s-sors, agħmel ir-riċerka, aqra biss it-tabella u r-regola li semmiet ir-riċerka, imbagħad ittestja l-istadju li jmiss. Dik is-sekwenza żżomm investigazzjoni tar-rotta f'minuti u tħalli rekord li ħaddieħor jista' jsegwi, li tabella pejstjata qatt ma tagħmel.

Artikli relatati