Hvorfor en slettet VPN-rute kommer tilbake etter gjentilkobling

En rute du slettet manuelt, er tilbake etter neste gjentilkobling, og tabellen ser nøyaktig ut som før. Dette er ikke en rutingsfeil: noe gjenoppretter oppføringen fra konfigurasjonen eller fra en handling i tilkoblingens livssyklus. De fleste runbooks stopper ved den aktive tabellen, og derfor ser slettingen ut til å virke i ett minutt og feiler deretter. Identifiser eieren, endre den, og bevis det ved en gjentilkobling.

Hvem installerte ruten

Start med en liste over kandidater i stedet for en rettelse. En VPN-profil kan bære sine egne ruter, en server kan pushe dem ved tilkobling, en nettverksbehandlerprofil kan erklære dem, en oppstartsenhet eller et skript kan legge dem til, og IPsec-implementasjoner installerer ruter for trafikkvelgerne de forhandler om. Policy-rutingregler kan også omdirigere trafikk helt til en annen tabell.

Tidspunktet skiller dem raskere enn konfigurasjonsarkeologi. En oppføring som vises i det øyeblikket grensesnittet kommer opp, tilhører klienten; en som ankommer et sekund senere, kom vanligvis fra en server-push; en som finnes ved oppstart, tilhører den lagrede konfigurasjonen. Registrer tabellen før og etter en tilkobling, en frakobling og en omstart, og mønsteret navngir eieren. En rute som bare kommer tilbake når tjenesten starter på nytt, peker på en enhet og ikke på VPN-en.

Les tabellen før du redigerer den

Se på kjernens eget syn i stedet for en lagret fil. Protokollkolonnen viser hva som installerte hver oppføring:

ip route show
ip route show table all
ip rule show

Protokollfeltet, metrikken og tabellnummeret forteller deg om du ser på en statisk oppføring, en kjerneopprettet oppføring eller noe en daemon la til. Regellisten er viktig fordi et oppslag kan forlate hovedtabellen helt, noe som gjør en endring der usynlig for programmet du feilsøker. Les linjen fra venstre mot høyre: destinasjon, gateway, enhet, protokoll og metrikk.

Spør deretter kjernen hvilken rute den faktisk ville bruke. En beskyttet adresse er en bedre sonde enn en offentlig:

ip route get 10.20.5.7

Endre eieren, ikke symptomet

Når eieren er kjent, hører endringen til hos den eieren. Fjern ruten fra klientprofilen, rett den pushede ruten på serveren, eller rediger nettverksbehandlerforbindelsen i stedet for å legge til en konkurrerende permanent rute som vinner på metrikk. To regler som kjemper mot hverandre gir en tabell som ingen senere kan forklare.

Behold unntaket for endepunktet. En vertsrute som sender VPN-serverens egen offentlige adresse gjennom den fysiske gatewayen, er det som holder de ytre tunnelpakkene i flyt; sletter du den, prøver tunnelen å bære seg selv. På en split-tunnel-profil gjelder samme omhu for de lokale subnettene som skal omgå tunnelen.

Koble til på nytt og verifiser begge veier

Koble til på nytt, og kontroller deretter begge destinasjonene i én gjennomgang. Den beskyttede adressen og det unntatte endepunktet svarer på forskjellige spørsmål:

ip route get 10.20.5.7
ip route get 198.51.100.20

Den første bør løses gjennom tunnelgrensesnittet og den andre gjennom den fysiske gatewayen. Hvis begge løses gjennom tunnelen, mangler unntaket; hvis ingen gjør det, har profilendringen ikke trådt i kraft, og du ser på en annen eier enn du trodde.

Skriv ned rutens formål, eieren og hvor lenge den skal leve. Den noten er det som hindrer neste person i å gjenta den samme slette-og-koble-til-på-nytt-syklusen.