Šta vam govori VPN tabela ruta i šta ne može

Povežete se, pokrenete listu ruta i vidite podmrežu za koju nikad niste čuli kako pokazuje na tunel. Taj red precizno tvrdi jednu stvar, a nekoliko stvari nikako. Beleži kako će ova mašina prosleđivati pakete tom prefiksu, ništa o tome koji hostovi tamo postoje i ništa o tome do čega vaš račun može doći. Ispravno čitanje traje minut; čitanje kao inventara traje mnogo duže dok se ne odučite.

Čitajte tabelu kao lokalne instrukcije

Ruta je instrukcija za prosleđivanje koju drži lokalno jezgro: za ovaj prefiks koristite ovaj interfejs i ovaj sledeći skok. Dužina prefiksa odlučuje koliko je instrukcija konkretna, a najduže podudaranje pobeđuje. Ništa u tom pravilu ne pominje dozvole, zdravlje servisa ni udaljenu topologiju.

Pravila politike mogu intervenisati pre nego što se tabela pregleda, zbog čega ruta može postojati, a ipak ne biti ona koju koristi dati paket. Čitajte pravila uz tabelu, pa pitajte jezgro koji bi put odabralo za konkretno odredište. Odgovor za jednu adresu vredi više od stranice prefiksa i jedini je odgovor koji odražava oznake, prostore imena i vezivanja interfejsa koje je klijent primenio.

Širok prefiks nije katalog

Prefiks /16 rutiran kroz tunel ne znači šesnaest hiljada dostupnih hostova, a podrazumevana ruta znači još manje. Server odlučuje ko odgovara, firewall odlučuje šta je dozvoljeno, a račun odlučuje šta je ovlašćeno.

Uska tabela ima obrnutu zamku: prefiks koji nedostaje može značiti da je odredište dostupno drugim putem ili jednostavno da uopšte nije rutirano. Ta dva slučaja izgledaju isto dok ih ne proverite. Uporedite tabelu sa resursom koji vam je rečeno da koristite, a ne sa svojim očekivanjima šta bi VPN trebalo da sadrži.

Odakle dolaze unosi

Rute dolaze sa najmanje četiri mesta: iz konfiguracione datoteke, od servera koji gura rutu tokom uspostavljanja veze, od mrežnog menadžera koji poseduje interfejs i od osobe koja kuca komandu tokom incidenta. Svako ima drugačiji životni vek i drugačijeg vlasnika.

Ona koju su otkucali tokom prekida je ona koja nestaje pri ponovnom pokretanju i ne pojavljuje se ni u čijoj dokumentaciji. Ruta koju gura server menja se kada se server promeni, zbog čega se neobjašnjeni novi prefiks često pojavljuje nakon ažuriranja gejtveja, a ne nakon promene klijenta. ip-route priručnik dokumentuje sintaksu tabele i polja ako trebate čitati zastavice.

Proverite rutu prema ugovoru o servisu

Korisno poređenje je između tabele i servisa koji vam je obećan: naziv, opseg adresa, port i vlasnik. Zapišite ta četiri pored prefiksa i praznine postaju vidljive.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Ako prefiks postoji, a servis i dalje ne radi, tabela je odradila svoj posao i problem je drugde: razrešavanje imena, firewall na drugoj strani ili račun bez prave grupe. Ako prefiks nedostaje, pitanje je ko ga je trebao dostaviti, a ne šta otkucati. Svaki od dva odgovora imenuje tim koji sledeće pitati, i to je jedini koristan rezultat čitanja tabele ruta. Zapišite to ime pre nego što zatvorite terminal.

Zabeležite pre i posle svake promene, s datumom i interfejsom. Tabela ruta je snimak jednog trenutka na jednoj mašini i postaje dokaz tek kada neko zapiše kada je napravljena.