Sjekk Linux-policyrutting før du endrar standardruta

Ein VPN-vert svarar på eitt grensesnitt og nektar å senda svar tilbake gjennom tunnelen, og standardruta ser rett ut. Det er der hovudtabellen sluttar å vera heile historia. Linux kan velja ein rutetabell per pakke ved hjelp av policyreglar, og VPN-en kan ha installert éin. Les reglane før du rører standardruta.

Rekkjefølgja har noko å seia: reglar først, deretter tabellen kvar regel vel.

Les reglane i prioritetsrekkjefølgje

Køyr ip rule show og les ovanfrå og ned. Prioritetsnummeret styrer evalueringsrekkjefølgja, og eit lågare nummer blir sjekka tidlegare. Standardregelen på 32766 er vanlegvis den siste som betyr noko. Er lista lang, lagre ho i ei fil før du endrar noko.

For kvar regel noterer du prioritet, treffet (kjelde, merke, grensesnitt eller mål) og tabellen han viser til. Ein regel utan brukbar tabell er ein blindveg, ikkje ei rute.

Gjer det same for IPv6 med ip -6 rule show. Ein policy som berre finst i IPv4-familien, lèt den andre familien bli liggjande på hovudtabellen.

Les tabellen kvar regel vel

Bruk ip route show table <name or number> for kvar tabell det blir vist til. Samanlikn rutene med grensesnittet og neste hopp du ventar. Ein tom eller ufullstendig tabell forklarer ein feil som hovudtabellen ikkje kan.

Hovudtabellen kan framleis ha standardruta, og det er greitt. Viss ein regel sender flyten din til tabell 51820 først, er hovudstandarden irrelevant for den pakken.

Slå opp tabellnamnet i /etc/iproute2/rt_tables viss nummeret er ukjent. Det oppslaget tek eit sekund og hindrar ein lang omveg.

Finn ut kven som installerte regelen

NetworkManager, wg-quick og andre skript kan installera reglar dynamisk. Slettar du éin under køyring, kan han bli gjenoppretta ved neste tilkopling. Sjekk konfigurasjonen til administratoren før du legg til ein konkurrerande regel.

wg-quick legg til dømes til ein merkt regel og ein tabell for dei tillatne adressene til tunnelen. Den regelen er grunnen til at trafikk til desse adressene går utanom hovudstandarden. Fjernar du han utan å endra konfigurasjonen, gjenopprettar neste opp han.

Behald den ytre ruta og administrasjonstilgangen til endepunktet medan du går gjennom. Ikkje tøm alle reglar på ein aktiv ekstern gateway for å forenkla utdata. Ei administrasjonsøkt som overlever endringa, er ein del av testen.

Test kjeldekonteksten som betyr noko

Ein generisk ip route get svarar på eit anna spørsmål enn applikasjonsflyten. Legg til kjeldadressa, og merket viss VPN-en brukar eitt, for å sjå vegen den verkelege pakken tek. Test eit inkludert og eit utelate mål med same kjeldekontekst. Gjenta for IPv6 viss verten køyrer dobbel stakk.

Etter ei godkjend retting, køyr dei same to oppslaga på nytt og samanlikn. Noter den tiltenkte regelen, tabellen og kor lenge regelen overlever ein omstart. Den notata gjer neste tenesteomstart forklarleg i staden for mystisk. ip-rule-manualsida dokumenterer treffveljarane og tabellsyntaksen.