Provjerite Linux policy routing prije nego promijenite zadanu rutu

VPN host odgovara na jednom interfejsu i odbija poslati odgovore natrag kroz tunel, a zadana ruta izgleda ispravno. Tu glavna tablica prestaje biti cijela priča. Linux može odabrati tablicu rutiranja za svaki paket pomoću pravila politike, a VPN je možda instalirao jedno. Pročitajte pravila prije nego dotaknete zadanu rutu.

Redoslijed je važan: prvo pravila, zatim tablica koju svako pravilo odabire.

Čitajte pravila po prioritetu

Pokrenite ip rule show i čitajte odozgo prema dolje. Broj prioriteta kontroliše redoslijed procjene, a manji broj se provjerava ranije. Zadano pravilo na 32766 obično je posljednje koje je važno. Ako je lista dugačka, sačuvajte je u datoteku prije nego bilo šta promijenite.

Za svako pravilo zabilježite prioritet, poklapanje (izvor, oznaka, interfejs ili odredište) i tablicu na koju upućuje. Pravilo bez upotrebljive tablice je slijepa ulica, ne ruta.

Uradite isto za IPv6 pomoću ip -6 rule show. Politika koja postoji samo u porodici IPv4 ostavlja drugu porodicu na glavnoj tablici.

Čitajte tablicu koju odabire svako pravilo

Koristite ip route show table <name or number> za svaku navedenu tablicu. Uporedite njene rute s interfejsom i sljedećim skokom koji očekujete. Prazna ili nepotpuna tablica objašnjava kvar koji glavna tablica ne može.

Glavna tablica može i dalje držati zadanu rutu, i to je u redu. Ako pravilo prvo pošalje vaš tok u tablicu 51820, glavni zadani je nevažan za taj paket.

Potražite ime tablice u /etc/iproute2/rt_tables ako broj nije poznat. Ta pretraga traje sekundu i sprječava dugo zaobilaženje.

Otkrijte ko je instalirao pravilo

NetworkManager, wg-quick i druge skripte mogu dinamički instalirati pravila. Brisanje jednog u toku rada može biti poništeno pri sljedećem povezivanju. Provjerite konfiguraciju menadžera prije nego dodate konkurentsko pravilo.

Na primjer, wg-quick dodaje označeno pravilo i tablicu za dozvoljene adrese tunela. To pravilo je razlog zašto saobraćaj ka tim adresama zaobilazi glavni zadani. Ako ga uklonite bez promjene konfiguracije, sljedeći up će ga vratiti.

Sačuvajte vanjsku rutu krajnje točke i pristup za upravljanje dok pregledate. Ne čistite sva pravila na aktivnom udaljenom gatewayu da pojednostavite izlaz. Sesija upravljanja koja preživi promjenu dio je testa.

Testirajte kontekst izvora koji je važan

Generički ip route get odgovara na drugo pitanje od toka aplikacije. Dodajte izvornu adresu i oznaku ako je VPN koristi, da vidite putanju koju pravi paket prelazi. Testirajte uključeno i isključeno odredište s istim kontekstom izvora. Zatim ponovite za IPv6 ako host radi dvostruki stek.

Nakon odobrene ispravke ponovo pokrenite iste dvije provjere i uporedite. Zabilježite namjeravano pravilo, tablicu i koliko pravilo preživi restart. Taj zapis čini sljedeći restart usluge objašnjivim, a ne tajanstvenim. stranica priručnika ip-rule dokumentuje selektore poklapanja i sintaksu tablica.