Ce vă spune un tabel de rute VPN și ce nu poate spune

Vă conectați, rulați o listă de rute și vedeți o subrețea de care nu ați auzit niciodată îndreptându-se spre tunel. Acea linie afirmă un lucru cu precizie și mai multe lucruri deloc. Ea înregistrează cum va redirecționa această mașină pachetele către acel prefix, nimic despre ce gazde există acolo și nimic despre ce poate atinge contul dumneavoastră. Să o citiți corect durează un minut; să o citiți ca pe un inventar durează mult mai mult până să vă dezobișnuiți.

Citiți tabelul ca instrucțiuni locale

O rută este o instrucțiune de redirecționare ținută de nucleul local: pentru acest prefix, folosiți această interfață și acest următor salt. Lungimea prefixului decide cât de specifică este instrucțiunea, iar cea mai lungă potrivire câștigă. Nimic din acea regulă nu menționează permisiuni, starea serviciului sau topologia la distanță.

Regulile de politică pot interveni înainte ca tabelul să fie consultat, motiv pentru care o rută poate exista și totuși să nu fie cea folosită de un anumit pachet. Citiți regulile alături de tabel, apoi întrebați nucleul ce cale ar alege pentru o destinație anume. Răspunsul pentru o singură adresă valorează mai mult decât o pagină de prefixe și este singurul răspuns care reflectă marcajele, spațiile de nume și legăturile de interfață aplicate de client.

Un prefix larg nu este un catalog

Un /16 rutat prin tunel nu înseamnă șaisprezece mii de gazde accesibile, iar o rută implicită înseamnă chiar mai puțin. Serverul decide cine răspunde, firewall-ul decide ce este permis, iar contul decide ce este autorizat.

Un tabel îngust are capcana inversă: un prefix absent poate însemna că destinația este accesibilă pe altă cale, sau pur și simplu că nu este rutată deloc. Aceste două cazuri arată identic până când le testați. Comparați tabelul cu resursa pe care vi s-a spus să o folosiți, nu cu așteptările dumneavoastră despre ce ar trebui să conțină un VPN.

De unde vin intrările

Rutele vin din cel puțin patru locuri: fișierul de configurare, serverul care împinge o rută în timpul stabilirii conexiunii, un manager de rețea care deține interfața și o persoană care tastează o comandă în timpul unui incident. Fiecare are o durată de viață diferită și un proprietar diferit.

Cea tastată în timpul unei întreruperi este cea care dispare la repornire și nu apare în documentația nimănui. O rută împinsă de server se schimbă când se schimbă serverul, motiv pentru care un prefix nou neexplicat apare adesea după o actualizare a gateway-ului și nu după o schimbare a clientului. manualul ip-route documentează sintaxa tabelului și a câmpurilor dacă trebuie să citiți indicatorii.

Verificați ruta față de contractul de serviciu

Comparația utilă este între tabel și serviciul care vi s-a promis: nume, domeniu de adrese, port și proprietar. Scrieți aceste patru lângă prefix și golurile devin vizibile.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Dacă prefixul există și serviciul tot eșuează, tabelul și-a făcut treaba și problema este în altă parte: rezolvarea numelor, un firewall de cealaltă parte sau un cont fără grupul corect. Dacă prefixul lipsește, întrebarea este cine ar fi trebuit să îl furnizeze, nu ce să tastați. Oricare dintre cele două răspunsuri numește o echipă de întrebat în continuare, și acesta este singurul rezultat util al citirii unui tabel de rute. Scrieți acel nume înainte de a închide terminalul.

Înregistrați înainte și după orice modificare, cu data și interfața. Un tabel de rute este o imagine a unui moment pe o singură mașină și devine dovadă doar când cineva a notat când a fost luată.