De ce revine o rută VPN ștearsă după reconectare

O rută pe care ai șters-o manual revine după următoarea reconectare, iar tabelul arată exact ca înainte. Nu este un bug de rutare: ceva recreează intrarea din configurație sau dintr-o acțiune a ciclului de viață al conexiunii. Majoritatea runbook-urilor se opresc la tabelul activ, de aceea ștergerea pare să funcționeze un minut și apoi eșuează. Identifică proprietarul, schimbă-l și demonstrează la o reconectare.

Cine a instalat ruta

Începe cu o listă de candidați, nu cu o corectare. Un profil VPN poate purta propriile rute, un server le poate trimite la conectare, un profil al managerului de rețea le poate declara, o unitate de boot sau un script le poate adăuga, iar implementările IPsec instalează rute pentru selectoarele de trafic pe care le negociază. Regulile de rutare bazate pe politică pot redirecționa traficul complet către alt tabel.

Momentul le separă mai repede decât arheologia configurației. O intrare care apare în clipa în care interfața urcă aparține clientului; una care sosește o secundă mai târziu vine de obicei dintr-un push al serverului; una care există la boot aparține configurației salvate. Înregistrează tabelul înainte și după o conectare, o deconectare și o repornire, iar modelul va numi proprietarul. O rută care revine doar când serviciul repornește indică o unitate, nu VPN-ul.

Citește tabelul înainte de a-l edita

Privește viziunea kernelului însuși, nu un fișier salvat. Coloana de protocol arată ce a instalat fiecare intrare:

ip route show
ip route show table all
ip rule show

Câmpul de protocol, metrica și numărul tabelului îți spun dacă privești o intrare statică, una creată de kernel sau ceva adăugat de un demon. Lista de reguli contează pentru că o căutare poate părăsi complet tabelul principal, ceea ce face o editare acolo invizibilă pentru aplicația pe care o depanezi. Citește linia de la stânga la dreapta: destinație, gateway, dispozitiv, protocol și metrică.

Apoi întreabă kernelul ce rută ar folosi de fapt. O adresă protejată este o sondă mai bună decât una publică:

ip route get 10.20.5.7

Schimbă proprietarul, nu simptomul

Odată ce proprietarul este cunoscut, schimbarea îi aparține. Elimină ruta din profilul clientului, corectează ruta trimisă pe server sau editează conexiunea managerului de rețea în loc să adaugi o rută persistentă concurentă care câștigă la metrică. Două reguli care se luptă între ele produc un tabel pe care nimeni nu îl va putea explica mai târziu.

Păstrează excluderea punctului final. O rută către gazdă care trimite adresa publică proprie a serverului VPN prin gateway-ul fizic este cea care menține pachetele exterioare ale tunelului în flux; elimină-o și tunelul încearcă să se poarte pe sine. Într-un profil split tunnel, aceeași grijă se aplică subrețelelor locale care trebuie să ocolească tunelul.

Reconectează-te și verifică ambele căi

Reconectează-te, apoi verifică ambele destinații într-o singură trecere. Adresa protejată și punctul final exclus răspund la întrebări diferite:

ip route get 10.20.5.7
ip route get 198.51.100.20

Prima ar trebui rezolvată prin interfața tunelului, iar a doua prin gateway-ul fizic. Dacă ambele se rezolvă prin tunel, lipsește excluderea; dacă niciuna, schimbarea profilului nu a intrat în vigoare și privești un alt proprietar decât cel la care te gândeai.

Notează scopul rutei, proprietarul și cât timp ar trebui să trăiască. Acea notă este ce împiedică următoarea persoană să repete același ciclu de ștergere și reconectare.