Verificați rutarea bazată pe politici în Linux înainte de a schimba ruta implicită

Un host VPN răspunde pe o interfață și refuză să trimită răspunsurile înapoi prin tunel, iar ruta implicită arată corect. Aici tabela principală nu mai este toată povestea. Linux poate selecta o tabelă de rutare pentru fiecare pachet folosind reguli de politică, iar VPN-ul poate a instalat una. Citiți regulile înainte de a atinge ruta implicită.

Ordinea contează: mai întâi regulile, apoi tabela pe care o selectează fiecare regulă.

Citiți regulile în ordinea priorității

Rulați ip rule show și citiți de sus în jos. Numărul de prioritate controlează ordinea de evaluare, iar un număr mai mic este verificat mai devreme. Regula implicită la 32766 este de obicei ultima care contează. Dacă lista este lungă, salvați-o într-un fișier înainte de a schimba ceva.

Pentru fiecare regulă, notați prioritatea, potrivirea (sursă, marcaj, interfață sau destinație) și tabela la care face referire. O regulă fără o tabelă utilizabilă este un drum înfundat, nu o rută.

Faceți același lucru pentru IPv6 cu ip -6 rule show. O politică ce există doar în familia IPv4 lasă cealaltă familie pe tabela principală.

Citiți tabela pe care o selectează fiecare regulă

Folosiți ip route show table <name or number> pentru fiecare tabelă referită. Comparați rutele ei cu interfața și următorul salt pe care îl așteptați. O tabelă goală sau incompletă explică o defecțiune pe care tabela principală nu o poate explica.

Tabela principală poate păstra încă ruta implicită, și este în regulă. Dacă o regulă trimite fluxul mai întâi la tabela 51820, implicitul principal este irelevant pentru acel pachet.

Căutați numele tabelei în /etc/iproute2/rt_tables dacă numărul nu este familiar. Acea căutare durează o secundă și previne un ocol lung.

Aflați cine a instalat regula

NetworkManager, wg-quick și alte scripturi pot instala reguli dinamic. Ștergerea uneia în timpul rulării poate fi anulată la următoarea reconectare. Verificați configurația managerului înainte de a adăuga o regulă concurentă.

De exemplu, wg-quick adaugă o regulă marcată și o tabelă pentru adresele permise ale tunelului. Acea regulă este motivul pentru care traficul către aceste adrese ocolește implicitul principal. Dacă o eliminați fără a schimba configurația, următorul up o restaurează.

Păstrați ruta externă a punctului final și accesul de administrare în timp ce verificați. Nu goliți toate regulile pe un gateway la distanță activ pentru a simplifica ieșirea. O sesiune de administrare care supraviețuiește schimbării face parte din test.

Testați contextul de sursă care contează

Un ip route get generic răspunde la o altă întrebare decât fluxul aplicației. Adăugați adresa de sursă, și marcajul dacă VPN-ul folosește unul, pentru a vedea calea pe care o ia pachetul real. Testați o destinație inclusă și una exclusă cu același context de sursă. Apoi repetați pentru IPv6 dacă gazda rulează stivă dublă.

După o corectare aprobată, rulați din nou aceleași două căutări și comparați. Păstrați o evidență a regulii intenționate, a tabelei și a cât timp regula supraviețuiește unei reporniri. Acea evidență face următoarea repornire a serviciului explicabilă, nu misterioasă. pagina de manual ip-rule documentează selectorii de potrivire și sintaxa tabelelor.