Hva en VPN-rutetabell forteller deg, og hva den ikke kan

Du kobler til, kjører en ruteoppføring og ser et subnett du aldri har hørt om peke på tunnelen. Den linjen sier én ting presist og flere ting ikke i det hele tatt. Den registrerer hvordan denne maskinen vil videresende pakker til det prefikset, ingenting om hvilke verter som finnes der, og ingenting om hva kontoen din kan nå. Å lese den riktig tar et minutt; å lese den som en oversikt tar mye lengre tid å avlære.

Les tabellen som lokale instrukser

En rute er en videresendingsinstruks som den lokale kjernen holder: for dette prefikset bruker du dette grensesnittet og dette neste hoppet. Prefiksets lengde avgjør hvor spesifikk instruksen er, og det lengste treffet vinner. Ingenting i den regelen nevner tillatelser, tjenestetilstand eller ekstern topologi.

Policyregler kan gripe inn før tabellen blir konsultert, og derfor kan en rute finnes og likevel ikke være den en gitt pakke bruker. Les reglene sammen med tabellen, og spør deretter kjernen hvilken vei den ville velge for en bestemt destinasjon. Svaret for én adresse er verdt mer enn en side med prefikser, og det er det eneste svaret som gjenspeiler merkene, navnerommene og grensesnittbindingene klienten har brukt.

Et bredt prefiks er ikke en katalog

Et /16 rutet gjennom tunnelen betyr ikke seksten tusen tilgjengelige verter, og en standardrute betyr enda mindre. Serveren bestemmer hvem som svarer, brannmuren bestemmer hva som er tillatt, og kontoen bestemmer hva som er autorisert.

En smal tabell har den motsatte fellen: et manglende prefiks kan bety at destinasjonen er tilgjengelig via en annen vei, eller rett og slett at den ikke er rutet i det hele tatt. De to tilfellene ser identiske ut til du tester dem. Sammenlign tabellen med ressursen du ble bedt om å bruke, ikke med forventningene dine om hva en VPN bør inneholde.

Hvor oppføringene kommer fra

Ruter kommer fra minst fire steder: konfigurasjonsfilen, serveren som dytter en rute under tilkoblingsoppsettet, en nettverksbehandler som eier grensesnittet, og en person som skriver en kommando under en hendelse. Hver har ulik levetid og ulik eier.

Den som ble skrevet under et avbrudd, er den som forsvinner ved omstart og ikke vises i noens dokumentasjon. En rute som serveren dytter, endres når serveren endres, og derfor dukker et uforklart nytt prefiks ofte opp etter en gateway-oppdatering og ikke etter en klientendring. Denne ip-route-manualen dokumenterer syntaksen for tabellen og feltene hvis du trenger å lese flaggene.

Kontroller ruten mot tjenesteavtalen

Den nyttige sammenligningen er mellom tabellen og tjenesten du ble lovet: navn, adresseomfang, port og eier. Skriv de fire ved siden av prefikset, og hullene blir synlige.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Hvis prefikset finnes og tjenesten likevel feiler, har tabellen gjort jobben sin, og problemet er et annet sted: navneoppslag, en brannmur på den andre siden eller en konto uten den riktige gruppen. Hvis prefikset mangler, er spørsmålet hvem som burde ha levert det, ikke hva man skal skrive. Hvert av de to svarene navngir et team å spørre neste gang, og det er den eneste nyttige utgangen av å lese en rutetabell. Skriv ned det navnet før du lukker terminalen.

Registrer før og etter av enhver endring, med dato og grensesnitt. En rutetabell er et øyeblikksbilde av ett øyeblikk på én maskin, og den blir først bevis når noen har skrevet ned når den ble tatt.