Controleer Linux-beleidsroutering voordat u de standaardroute wijzigt

Een VPN-host antwoordt op één interface en weigert antwoorden via de tunnel terug te sturen, en de standaardroute ziet er correct uit. Daar houdt de hoofdtabel op het hele verhaal te zijn. Linux kan per pakket een routingtabel kiezen met beleidsregels, en de VPN heeft er misschien een geïnstalleerd. Lees de regels voordat u de standaardroute aanraakt.

De volgorde is belangrijk: eerst de regels, dan de tabel die elke regel kiest.

Lees de regels in prioriteitsvolgorde

Voer ip rule show uit en lees van boven naar beneden. Het prioriteitsnummer bepaalt de evaluatievolgorde, en een lager nummer wordt eerder gecontroleerd. De standaardregel op 32766 is meestal de laatste die ertoe doet. Is de lijst lang, sla hem dan op in een bestand voordat u iets wijzigt.

Noteer per regel de prioriteit, de match (bron, markering, interface of bestemming) en de tabel waarnaar hij verwijst. Een regel zonder bruikbare tabel is een doodlopende weg, geen route.

Doe hetzelfde voor IPv6 met ip -6 rule show. Een beleid dat alleen in de IPv4-familie bestaat, laat de andere familie op de hoofdtabel staan.

Lees de tabel die elke regel kiest

Gebruik ip route show table <name or number> voor elke tabel waarnaar verwezen wordt. Vergelijk de routes met de interface en de volgende hop die u verwacht. Een lege of onvolledige tabel verklaart een fout die de hoofdtabel niet kan verklaren.

De hoofdtabel kan nog steeds de standaardroute bevatten, en dat is prima. Als een regel uw stroom eerst naar tabel 51820 stuurt, is de hoofdstandaard voor dat pakket irrelevant.

Zoek de tabelnaam op in /etc/iproute2/rt_tables als het nummer onbekend is. Die opzoeking kost een seconde en voorkomt een lange omweg.

Zoek uit wie de regel heeft geïnstalleerd

NetworkManager, wg-quick en andere scripts kunnen regels dynamisch installeren. Een regel tijdens bedrijf verwijderen kan bij de volgende herverbinding ongedaan worden gemaakt. Controleer de configuratie van de beheerder voordat u een concurrerende regel toevoegt.

wg-quick voegt bijvoorbeeld een gemarkeerde regel en een tabel toe voor de toegestane adressen van de tunnel. Die regel is de reden dat verkeer naar die adressen de hoofdstandaard omzeilt. Verwijdert u hem zonder de configuratie te wijzigen, dan zet de volgende up hem terug.

Behoud de buitenroute en beheerstoegang van het eindpunt terwijl u controleert. Leeg niet alle regels op een actieve externe gateway om de uitvoer te vereenvoudigen. Een beheersessie die de wijziging overleeft, hoort bij de test.

Test de broncontext die ertoe doet

Een generieke ip route get beantwoordt een andere vraag dan de applicatiestroom. Voeg het bronadres toe, en de markering als de VPN er een gebruikt, om het pad te zien dat het echte pakket neemt. Test een inbegrepen en een uitgesloten bestemming met dezelfde broncontext. Herhaal dit voor IPv6 als de host dual-stack draait.

Voer na een goedgekeurde correctie dezelfde twee opzoekingen opnieuw uit en vergelijk. Leg de bedoelde regel, de tabel en hoe lang de regel een herstart overleeft vast. Dat verslag maakt de volgende herstart van de dienst verklaarbaar in plaats van mysterieus. De handleidingpagina van ip-rule documenteert de matchselectoren en de tabelsyntaxis.