O que uma tabela de rotas VPN lhe diz e o que não pode dizer

Você se conecta, executa uma listagem de rotas e vê uma sub-rede da qual nunca ouviu falar apontando para o túnel. Essa linha afirma uma coisa com precisão e várias coisas de jeito nenhum. Ela registra como esta máquina encaminhará pacotes para esse prefixo, nada sobre quais hosts existem ali e nada sobre o que sua conta pode alcançar. Lê-la corretamente leva um minuto; lê-la como um inventário leva muito mais tempo para desaprender.

Leia a tabela como instruções locais

Uma rota é uma instrução de encaminhamento mantida pelo núcleo local: para este prefixo, use esta interface e este próximo salto. O comprimento do prefixo decide quão específica é a instrução, e a correspondência mais longa vence. Nada nessa regra menciona permissões, saúde do serviço ou topologia remota.

As regras de política podem intervir antes de a tabela ser consultada, e é por isso que uma rota pode existir e ainda assim não ser a que um determinado pacote usa. Leia as regras ao lado da tabela e depois pergunte ao núcleo qual caminho ele escolheria para um destino específico. A resposta para um endereço vale mais do que uma página de prefixos, e é a única resposta que reflete as marcas, os namespaces e as vinculações de interface que o cliente aplicou.

Um prefixo amplo não é um catálogo

Um /16 roteado pelo túnel não significa dezesseis mil hosts alcançáveis, e uma rota padrão significa ainda menos. O servidor decide quem responde, o firewall decide o que é permitido e a conta decide o que é autorizado.

Uma tabela estreita tem a armadilha oposta: um prefixo ausente pode significar que o destino é alcançável por outro caminho, ou simplesmente que ele não é roteado de forma alguma. Esses dois casos parecem idênticos até você testá-los. Compare a tabela com o recurso que lhe disseram para usar, não com suas expectativas do que uma VPN deveria conter.

De onde vêm as entradas

As rotas chegam de pelo menos quatro lugares: o arquivo de configuração, o servidor que empurra uma rota durante o estabelecimento da conexão, um gerenciador de rede que possui a interface e uma pessoa que digita um comando durante um incidente. Cada um tem um tempo de vida diferente e um proprietário diferente.

A que foi digitada durante uma interrupção é a que desaparece ao reiniciar e não aparece na documentação de ninguém. Uma rota empurrada pelo servidor muda quando o servidor muda, e é por isso que um prefixo novo sem explicação costuma aparecer depois de uma atualização do gateway e não depois de uma mudança no cliente. O manual do ip-route documenta a sintaxe da tabela e dos campos se você precisar ler os sinalizadores.

Verifique a rota contra o contrato de serviço

A comparação útil é entre a tabela e o serviço que lhe foi prometido: nome, escopo de endereços, porta e proprietário. Escreva esses quatro ao lado do prefixo e as lacunas ficam visíveis.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Se o prefixo está presente e o serviço ainda falha, a tabela fez o seu trabalho e o problema está em outro lugar: resolução de nomes, um firewall do outro lado ou uma conta sem o grupo correto. Se o prefixo está ausente, a pergunta é quem deveria tê-lo fornecido, não o que digitar. Qualquer das duas respostas nomeia uma equipe a quem perguntar em seguida, e essa é a única saída útil de ler uma tabela de rotas. Escreva esse nome antes de fechar o terminal.

Registre o antes e o depois de qualquer mudança, com a data e a interface. Uma tabela de rotas é um instantâneo de um momento em uma máquina, e só se torna evidência quando alguém anotou quando ela foi tirada.