Sjekk Linux-policyrutting før du endrer standardruten

En VPN-vert svarer på ett grensesnitt og nekter å sende svar tilbake gjennom tunnelen, og standardruten ser riktig ut. Det er der hovedtabellen slutter å være hele historien. Linux kan velge en rutetabell per pakke ved hjelp av policyregler, og VPN-en kan ha installert én. Les reglene før du rører standardruten.

Rekkefølgen betyr noe: regler først, deretter tabellen hver regel velger.

Les reglene i prioritetsrekkefølge

Kjør ip rule show og les ovenfra og ned. Prioritetsnummeret styrer evalueringsrekkefølgen, og et lavere nummer sjekkes tidligere. Standardregelen på 32766 er vanligvis den siste som betyr noe. Er listen lang, lagre den i en fil før du endrer noe.

For hver regel noterer du prioritet, treffet (kilde, merke, grensesnitt eller mål) og tabellen den viser til. En regel uten brukbar tabell er en blindvei, ikke en rute.

Gjør det samme for IPv6 med ip -6 rule show. En policy som bare finnes i IPv4-familien, lar den andre familien bli liggende på hovedtabellen.

Les tabellen hver regel velger

Bruk ip route show table <name or number> for hver tabell det vises til. Sammenlign rutene med grensesnittet og neste hopp du forventer. En tom eller ufullstendig tabell forklarer en feil som hovedtabellen ikke kan.

Hovedtabellen kan fortsatt ha standardruten, og det er greit. Hvis en regel sender flyten din til tabell 51820 først, er hovedstandarden irrelevant for den pakken.

Slå opp tabellnavnet i /etc/iproute2/rt_tables hvis nummeret er ukjent. Det oppslaget tar et sekund og forhindrer en lang omvei.

Finn ut hvem som installerte regelen

NetworkManager, wg-quick og andre skript kan installere regler dynamisk. Sletter du én under kjøring, kan den bli gjenopprettet ved neste tilkobling. Sjekk konfigurasjonen til administratoren før du legger til en konkurrerende regel.

wg-quick legger for eksempel til en merket regel og en tabell for tunnelens tillatte adresser. Den regelen er grunnen til at trafikk til disse adressene omgår hovedstandarden. Fjerner du den uten å endre konfigurasjonen, gjenoppretter neste opp den.

Bevar endepunktets ytre rute og administrasjonstilgang mens du gjennomgår. Ikke tøm alle regler på en aktiv ekstern gateway for å forenkle utdataene. En administrasjonsøkt som overlever endringen, er en del av testen.

Test kildekonteksten som betyr noe

En generisk ip route get svarer på et annet spørsmål enn applikasjonsflyten. Legg til kildeadressen, og merket hvis VPN-en bruker ett, for å se veien den virkelige pakken tar. Test et inkludert og et utelatt mål med samme kildekontekst. Gjenta for IPv6 hvis verten kjører dobbel stakk.

Etter en godkjent korrigering, kjør de samme to oppslagene på nytt og sammenlign. Noter den tiltenkte regelen, tabellen og hvor lenge regelen overlever en omstart. Den noten gjør neste tjenesteomstart forklarbar i stedet for mystisk. ip-rule-manualsiden dokumenterer treffvelgerne og tabellsyntaksen.