Tabella VPN vojta ma timblokka xejn waħedha

Regola ta’ politika tibgħat pakketti mmarkati lejn tabella dedikata, u l-aspettattiva tas-soltu hija li t-telf tar-rotta VPN jimblokkahom. Il-mekkaniżmu jagħmel xi ħaġa oħra. Meta tabella ma jkunx fiha rotta li taqbel, it-tfittxija tkompli għar-regola li jmiss minflok ma tieqaf, u t-tabella main għadha żżomm rotta default ordinarja għall-uplink. Ir-riżultat huwa konfigurazzjoni li tidher fail-closed u li taġixxi bħala fail-open.

Xejn mhu miksur; hekk hija speċifikata r-rotta bbażata fuq il-politika.

It-tfittxija tkompli meta tabella ma jkollha xejn

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Ħu dak is-sett ta’ regoli: tfittxija mmarkata tmur fit-tabella 42, u regola aktar tard tibgħat l-istess marka lejn tabella bl-isem default. Sakemm it-tabella 42 iżżomm rotta default li tista’ tintuża, l-ewwel tfittxija tipprovdi l-passaġġ. Meta dik ir-rotta tisparixxi u xejn ieħor fit-tabella 42 ma jaqbel, it-tfittxija ma ssirx tarmija; l-ipproċessar imur għar-regola li jmiss, u meta lanqas dik ma ssib xejn, tasal għat-tabella main. Xejn f’dik is-sekwenza ma jirrapporta liema regola pproduċiet l-aħħar tweġiba, għalhekk konnessjoni li taħdem tidher bħal politika li taħdem.

It-tabella 253, li normalment tissejjaħ default, hija tabella ordinarja tar-rotot u normalment tkun vojta. Isimha mhuwiex struzzjoni biex tarmi pakketti, u mhuwiex l-istess bħal rotta tad-destinazzjoni default ġewwa tabella.

L-azzjonijiet terminali jtemmu t-tfittxija

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Regola terminali tista’ ssegwi t-tfittxija VPN minflok tfittxija f’tabella vojta. Bl-istess marka, azzjoni prohibit imqiegħda wara r-regola tat-tabella 42 ittemm it-tfittxija meta dik it-tabella ma tagħti xejn, u tirritorna rifjut amministrattiv minflok ma tagħti lit-tabella main ċans ieħor. Unreachable u blackhole huma wkoll terminali, b’imġiba differenti tal-iżball għall-mittent.

Rotta tat-tip throw hija differenti: ġewwa dik it-tabella taġixxi bħallikieku xejn ma qabel, għalhekk regoli aktar tard xorta jieħdu d-dawra tagħhom. Dan jagħmel throw utli għal rtirar deliberat u żbaljat bħala blokk finali.

Ivverifika bil-marka u l-interface veri

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Spezzjona r-regoli u t-tabella veri minflok dijagramma, imbagħad staqsi l-fluss bil-kuntest tas-sors, il-marka u d-dħul li tassew għandu. Tfittxija tal-qari biss immirata lejn destinazzjoni, li tingħata l-indirizz tas-sors, l-interface u l-marka, tirrapporta r-rotta li l-kernel jagħżel mingħajr ma joħroġ pakkett. L-għoti ta’ marka fil-mistoqsija ma jippruvax li l-firewall jimmarka traffiku veru; dik hija verifika separata tar-regoli tal-immarkar. Ikkonferma l-valur b’counter jew log qabel ma tislet konklużjonijiet mill-mistoqsija.

Talbiet iġġenerati lokalment jeħtieġu l-kuntest tagħhom stess, għax il-passaġġ tal-immarkar tagħhom spiss ikun differenti minn dak tat-traffiku mgħoddi. Iċċekkjahom bl-interface tal-ħruġ li l-applikazzjoni tassew tuża.

Żewġ stati ta’ falliment, mhux waħda

Stat ta’ falliment wieħed huwa li r-rotta VPN tisparixxi u t-traffiku jaqa’ fuq l-uplink. Mina mejta li r-rotta tagħha tibqa’ installata hija oħra: il-pakketti jibqgħu diretti lejn passaġġ li ma jistax jintuża minflok ma jaqgħu, u s-sintomu huwa telf sieket u mhux konnessjoni diretta viżibbli. Iċċekkja t-tnejn, u ċċekkja wkoll l-imġiba fit-tnedija, fir-rikonnessjoni u fl-waqfien tas-servizz.

Regola bħal din tgħin biss sakemm teżisti u sakemm il-pakketti għadhom iġorru l-marka li tagħżilha. Skript ta’ għeluq li jħassar ir-regola, jew passaġġ li jneħħi l-marka, jerġa’ jġib l-imġiba miftuħa. Dawk it-transizzjonijiet jixirqilhom prattika.

Applika l-politika fuq IPv6 separatament, u żomm l-eċċezzjonijiet tal-punt aħħari approvati espliċiti u mhux impliċiti.