Pred zmenou predvolenej trasy skontrolujte politiku smerovania v Linuxe
Jedno pravidlo môže poslať tok do inej tabuľky a urobiť hlavnú predvolenú trasu nepodstatnou. Pred zmenou trasy Linux VPN si prečítajte prioritu, tabuľku a vlastníka.
Host VPN odpovedá na jednom rozhraní a odmieta posielať odpovede späť cez tunel, a predvolená trasa vyzerá správne. Tu sa hlavná tabuľka prestáva byť celým príbehom. Linux môže vybrať smerovaciu tabuľku pre každý paket pomocou pravidiel politiky a VPN mohol jednu nainštalovať. Prečítajte si pravidlá, skôr než sa dotknete predvolenej trasy.
Poradie je dôležité: najprv pravidlá, potom tabuľka, ktorú každé pravidlo vyberá.
Čítajte pravidlá v poradí priorít
Spustite ip rule show a čítajte zhora nadol. Číslo priority riadi poradie hodnotenia a nižšie číslo sa kontroluje skôr. Predvolené pravidlo na 32766 je zvyčajne posledné, ktoré má význam. Ak je zoznam dlhý, uložte ho do súboru, skôr než čokoľvek zmeníte.
Pre každé pravidlo zaznamenajte prioritu, zhodu (zdroj, značka, rozhranie alebo cieľ) a tabuľku, na ktorú odkazuje. Pravidlo bez použiteľnej tabuľky je slepá ulička, nie trasa.
To isté urobte pre IPv6 pomocou ip -6 rule show. Politika, ktorá existuje iba v rodine IPv4, necháva druhú rodinu na hlavnej tabuľke.
Čítajte tabuľku, ktorú vyberá každé pravidlo
Použite ip route show table <name or number> pre každú uvedenú tabuľku. Porovnajte jej trasy s rozhraním a ďalším skokom, ktorý očakávate. Prázdna alebo neúplná tabuľka vysvetľuje zlyhanie, ktoré hlavná tabuľka vysvetliť nevie.
Hlavná tabuľka môže stále obsahovať predvolenú trasu, a to je v poriadku. Ak pravidlo pošle váš tok najprv do tabuľky 51820, hlavná predvolená je pre ten paket nepodstatná.
Ak je číslo neznáme, vyhľadajte názov tabuľky v /etc/iproute2/rt_tables. To vyhľadanie trvá sekundu a zabráni dlhej obchádzke.
Zistite, kto pravidlo nainštaloval
NetworkManager, wg-quick a ďalšie skripty môžu inštalovať pravidlá dynamicky. Vymazanie jedného za behu môže byť pri ďalšom pripojení vrátené. Pred pridaním konkurenčného pravidla skontrolujte konfiguráciu správcu.
Napríklad wg-quick pridáva označené pravidlo a tabuľku pre povolené adresy tunela. Práve preto prevádzka na tieto adresy obchádza hlavnú predvolenú. Ak ho odstránite bez zmeny konfigurácie, nasledujúce up ho obnoví.
Pri kontrole zachovajte vonkajšiu trasu koncového bodu a prístup na správu. Nečistite všetky pravidlá na aktívnej vzdialenej bráne, aby ste zjednodušili výstup. Relácia správy, ktorá zmenu prežije, je súčasťou testu.
Testujte kontext zdroja, na ktorom záleží
Všeobecný ip route get odpovedá na inú otázku ako tok aplikácie. Pridajte zdrojovú adresu a značku, ak ju VPN používa, aby ste videli cestu, ktorou ide skutočný paket. Otestujte zahrnutý a vylúčený cieľ s rovnakým kontextom zdroja. Potom to zopakujte pre IPv6, ak host beží s dvojitým zásobníkom.
Po schválenej oprave znova spustite tie isté dve vyhľadania a porovnajte. Zaznamenajte zamýšľané pravidlo, tabuľku a to, ako dlho pravidlo prežije reštart. Ten záznam robí ďalší reštart služby vysvetliteľným, nie záhadným. stránka manuálu ip-rule dokumentuje selektory zhody a syntax tabuliek.