Il-klijent VPN iħassar ir-rotta li żidt? Uża tabella tal-politika

Waħda /24 għal printer tal-laboratorju tisparixxi bejn żewġ sejħiet ta' ip route show, u l-log tal-klijent jgħid biss li n-netwerk inbidel. Xejn ma kien ħażin fil-kmand, fil-prefiss jew fil-privileġġi tiegħek. Klijent korporattiv li jippossjedi l-mudell tar-routing tal-host jerġa' jafferma dak il-mudell kull darba li xi ħadd ieħor jeditjah, għalhekk id-daħla li żidt titneħħa bħala intrus. Li tiġġieled miegħu fl-istess tabella hija pożizzjoni mitlufa. Is-soluzzjoni hija li tieqaf għal kollox tikkompeti għal dik it-tabella u tqiegħed l-eċċezzjoni fejn il-monitor qatt ma jħares.

Il-monitor jispjega r-rotta nieqsa

Uri dan qabel ma terġa' tiddisinja xejn: aqra t-tabella, żid il-prefiss, stenna ftit sekondi, aqra mill-ġdid. Jekk id-daħla ma tkunx hemm u ma ttajpjajt xejn biex tneħħiha, xi aġent qed josserva. Sib il-proċess li jippossjedi dan l-imġieba u aqra l-ġurnal tiegħu madwar il-mument li fih ir-rotta tisparixxi, għax l-istess servizz normalment iżomm il-mina, il-filtri tal-pakketti u l-konfigurazzjoni tar-resolver. Li toqtolha biex ir-rotta tiegħek tibqa' hija skambju li se jiddispjaċik fl-għeluq li jmiss.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Il-prefiss u l-interface hawn fuq huma placeholders. Li tikkopja isem tal-interface minn eżempju li jaħdem fuq magna oħra hija l-aktar raġuni komuni għaliex din id-dimostrazzjoni ma tagħti xejn.

It-tieni tabella ma tidhirx lill-monitor

L-aġent jerġa' jibni biss it-tabella li jippossjedi. Agħti lill-eċċezzjoni tabella tagħha stess flimkien ma' regola li tibgħat id-destinazzjonijiet li jaqblu hemmhekk, u t-tabella prinċipali qatt ma tinbidel, għalhekk l-aġent m'għandu xejn x'jirranġa. Din hija l-idea kollha: spazju wieħed tal-ismijiet tar-rotot li xi ħadd ieħor iżomm, u ieħor li tmiss int biss.

L-iskambju huwa l-manutenzjoni. Żewġ oġġetti jistgħu jitbiegħdu minn xulxin, u l-pożizzjoni tar-regola fil-lista timporta daqs ir-rotta fit-tabella li tagħżel.

Ibni l-eċċezzjoni, imbagħad agħmilha tirbaħ

Oħloq it-tabella, installa r-rotta u żid regola li tagħżel it-tabella għal dik id-destinazzjoni. Il-preferenza tiddetermina jekk ir-regola tiegħek tiġix ikkonsultata qabel jew wara dawk li daħħal il-klijent, u regola li tiġi ordnata aktar tard qatt ma tintlaħaq, għalhekk in-numru huwa parti mid-disinn u mhux dekorazzjoni. Imbagħad staqsi lill-kernel x'jagħmel tassew, li hija domanda differenti minn dak li kkonfigurajt.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get issolvi r-rotta li l-kernel juża, inkluż it-tagħmir u l-indirizz tas-sors. Ma jipprintjax l-identifikatur tat-tabella, għalhekk ipparjaha ma' ip rule show meta jkollok bżonn tikkonferma liema tabella rebħet. Flimkien iwieġbu l-unika mistoqsija li timporta: it-traffiku lejn dak l-indirizz joħroġ minn fejn kellek ħsieb?

Forom oħra tal-istess idea

Il-mudell jiġġeneralizza malli tieqaf taħseb f'destinazzjonijiet. Subnet lokali jista' jibqa' aċċessibbli filwaqt li l-mina żżomm ir-rotta default. It-tweġibiet minn server SSH imqabbad mal-LAN jistgħu joħorġu mill-interface li waslu bih minflok ma jisparixxu fil-mina. U regola bbażata fuq l-interface tista' timbotta kollox li jasal għal interface wireless fil-mina filwaqt li t-traffiku li jiġġenera l-host stess jibqa' fuq Ethernet:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Dak l-aħħar każ jaqbel mal-interface deħlin minflok mad-destinazzjoni, li huwa tip differenti ta' regola u mudell mentali differenti. It-traffiku mibgħut 'il quddiem jeħtieġ ukoll net.ipv4.ip_forward attivat, u t-tarf 'il bogħod irid jerġa' jirrutta l-firxa tas-sors jew jittraduċiha; regola fuq magna waħda qatt ma toħloq in-nofs l-ieħor tal-passaġġ.

Ittratta r-regola bħala li tista' tintrema

Ir-regoli u r-rotot tat-tabella jgħixu fil-memorja. Wara rikonnessjoni t-tagħmir tal-mina jista' jiġi msemmi mill-ġdid, l-indirizz assenjat jista' jiċċaqlaq, u regola li żżomm il-valur l-antik tieqaf taqbel bil-kwiet. Erġa' applika l-bidla kollha minn skript wieħed li jippossjediha, imbagħad erġa' iċċekkja ip rule show, l-isem attwali tat-tagħmir u ip route get ġdid kontra destinazzjoni reali qabel ma tafda l-eċċezzjoni.

Żewġ konfini jibqgħu jgħixu minkejja kull attenzjoni. Il-klijent għadu jikkontrolla r-regoli tal-filtru tiegħu stess u l-konfigurazzjoni tar-resolver, u eċċezzjoni tar-routing ma tissostitwixxi l-ebda waħda. Jekk il-klijent iħassar ukoll ir-regola tal-politika tiegħek, il-passaġġi appoġġjati huma l-politika tiegħu stess ta' split tunnel jew klijent li jħallik timmaniġġja r-rotot, bħal OpenConnect; li tfixkel binary tal-fornitur biex tiskot il-monitor tiegħu hija impenn ta' manutenzjoni b'verifika tal-integrità mehmuża.

Ikteb in-numru tat-tabella, il-preferenza u d-destinazzjoni f'nota ħdejn l-iskript. Inkella l-persuna li jmiss issib regola li taqbeż il-mina u ma jkollha l-ebda mod kif tkun taf għaliex.