Sprawdzanie trasy VPN w macOS: route get bez żadnych zmian

Użytkownik dociera do intranetu w sieci biurowej, a nie przez tunel, podczas gdy Ustawienia nadal pokazują VPN jako połączoną. Edycja tablicy tras w tym momencie ryzykuje zerwanie sesji zdalnej, której używasz do diagnozy. Zapytaj zamiast tego jądro, którą ścieżkę wybrałoby dla niedziałającego hosta. Narzędzie route w macOS ma operację get, która odpowiada dokładnie na to, dla jednego celu, bez zmiany czegokolwiek.

Pytaj niedziałający host, nie trasę domyślną

Zrzut ekranu domyślnej trasy mówi na nowoczesnym Macu bardzo niewiele, ponieważ bardziej konkretny cel lub ograniczona polityka mogą przesłonić to, co domyślna trasa zdaje się mówić. Tunel może działać, domyślna trasa może wyglądać poprawnie, a jedyny potrzebny host nadal może być kierowany gdzie indziej. Odpytaj adres, który nie działa, i pozwól jądru nazwać wybraną ścieżkę.

Forma to route -n get, po którym następuje adres: route -n get 203.0.113.10, gdzie adres dokumentacyjny zastępuje twój cel. Użyj autoryzowanego celu i pasującej rodziny adresów, ponieważ odpowiedź IPv4 nic nie mówi o zasobie tylko IPv6. Dokumentacja narzędzia route opisuje operację get i pola, które wypisuje.

Czytaj interfejs i bramę jako dowód

Uruchom zapytanie przed połączeniem VPN, a potem ponownie po nim, i porównaj wiersze interfejsu oraz bramy. Różnica między tymi dwiema odpowiedziami to to, co tunel rzeczywiście zmienił, i jest znacznie użyteczniejsza niż pełny zrzut tablicy. Jeśli interfejs jest identyczny w obu uruchomieniach, trasa nigdy nie była problemem i możesz przestać patrzeć na routing.

Zapisz cel, interfejs, bramę i czas zapytania, zanim wyciągniesz wniosek. Wyjście jest dowodem, nie diagnozą: ten sam interfejs może być poprawny dla jednego hosta i błędny dla innego, gdy w grę wchodzi tunel dzielony.

Poprawna trasa to nie działające żądanie

Trasa mówi, którego interfejsu użyłoby jądro, i nic więcej. DNS, zapora hosta i autoryzacja aplikacji stoją ponad tą decyzją, a żądanie może zawieść po udanym routingu. Zachowaj dokładny objaw, zanim przejdziesz dalej, ponieważ "nie można się połączyć" i "łączy się, ale zwraca błąd" to różne dochodzenia z różnymi kolejnymi krokami. Widok resolwera i widok interfejsu uzupełniają zapytanie o cel, zamiast je zastępować.

Lista tablicy routingu wciąż ma swoje miejsce: tak zauważasz nieoczekiwaną trasę domyślną. Pozostała zwykła trasa domyślna nie dowodzi, że VPN nie jest używana, ponieważ bardziej szczegółowe wpisy wygrywają z nią.

Trzymaj punkt końcowy i zasób osobno

W grę wchodzą dwa wyszukiwania i odpowiadają na różne pytania. Dotarcie do punktu końcowego to zewnętrzna podróż przez sieć fizyczną. Dotarcie do aplikacji odbywa się wewnątrz tunelu, pod adresem, który istnieje tylko po stronie prywatnej. Pomieszanie obu daje klasyczną fałszywą pętlę, w której punkt końcowy zdaje się być routowany przez tunel, który kończy. Odpytaj oba adresy osobno, oznacz każdy wynik, a zamieszanie znika.

Nakładanie się prefiksów to drugi przypadek, który warto znać. Gdy zakresy lokalne i zdalne się nakładają, decyduje dopasowanie najdłuższego prefiksu, więc nakładająca się podsieć lokalna może przesłonić oczekiwany adres zdalny. Wtedy prywatny cel wygląda identycznie jak lokalny, a poprawka należy do planu adresów, a nie do tablicy tras. Zapytanie get pokazuje, który interfejs wygrał, i to jest fakt, którego potrzebujesz przed zmianą czegokolwiek.

Najpierw czytaj, zmieniaj później

Trzymaj route add i route delete poza pierwszym przebiegiem. Na Macu, którym administrujesz zdalnie, jedna nieostrożna edycja tablicy może odebrać właśnie drogę powrotną do maszyny i nie zostawić nikogo, kto dokończy diagnozę. Zdecyduj, która trasa jest poprawna, zapisz, jak cofnąć zmianę, i dopiero wtedy ją wykonaj. Inspekcja nie ma takiego ogona.

Ta sama ostrożność dotyczy czyszczenia pamięci podręcznych i restartu usług sieciowych jako pierwszego ruchu, ponieważ oba niszczą dowód, który miałeś przeczytać. Kontrole tylko do odczytu są tanie, powtarzalne i bezpieczne w dowolnej kolejności. Uczyń je domyślnym krokiem, a po zmianę sięgaj tylko wtedy, gdy dowód na nią wskazuje.