Prečo sa vymazaná trasa VPN vráti po opätovnom pripojení

Trasa, ktorú ste vymazali ručne, sa po ďalšom opätovnom pripojení vráti a tabuľka vyzerá presne ako predtým. Nie je to chyba smerovania: niečo znova vytvára záznam z konfigurácie alebo z akcie životného cyklu pripojenia. Väčšina runbookov sa zastaví pri živej tabuľke, a preto sa zdá, že vymazanie funguje minútu, a potom zlyhá. Určite vlastníka, zmeňte ho a dokážte to pri opätovnom pripojení.

Kto trasu nainštaloval

Začnite zoznamom kandidátov, nie opravou. Profil VPN môže niesť vlastné trasy, server ich môže odosielať pri pripojení, profil správcu siete ich môže deklarovať, bootovacia jednotka alebo skript ich môže pridať a implementácie IPsec inštalujú trasy pre selektory prevádzky, ktoré vyjednávajú. Pravidlá smerovania podľa politiky môžu tiež presmerovať prevádzku úplne do inej tabuľky.

Čas ich oddelí rýchlejšie ako konfiguračná archeológia. Záznam, ktorý sa objaví v okamihu, keď rozhranie nabehne, patrí klientovi; ten, ktorý príde o sekundu neskôr, zvyčajne prišiel z pushu servera; ten, ktorý existuje pri boote, patrí uloženej konfigurácii. Zaznamenajte tabuľku pred a po pripojení, odpojení a reštarte a vzor pomenuje vlastníka. Trasa, ktorá sa vráti iba pri reštarte služby, ukazuje na jednotku, nie na VPN.

Prečítajte si tabuľku pred úpravou

Pozerajte sa na vlastný pohľad jadra, nie na uložený súbor. Stĺpec protokolu ukazuje, čo nainštalovalo každý záznam:

ip route show
ip route show table all
ip rule show

Pole protokolu, metrika a číslo tabuľky vám povedia, či sa pozeráte na statický záznam, záznam vytvorený jadrom alebo na niečo, čo pridal démon. Zoznam pravidiel je dôležitý, pretože vyhľadanie môže úplne opustiť hlavnú tabuľku, čo robí úpravu tam neviditeľnou pre aplikáciu, ktorú ladíte. Prečítajte riadok zľava doprava: cieľ, brána, zariadenie, protokol a metrika.

Potom sa jadra opýtajte, ktorú trasu by skutočne použilo. Chránená adresa je lepšia sonda než verejná:

ip route get 10.20.5.7

Zmeňte vlastníka, nie príznak

Keď je vlastník známy, zmena patrí jemu. Odstráňte trasu z profilu klienta, opravte odosielanú trasu na serveri alebo upravte pripojenie správcu siete, namiesto pridania konkurenčnej trvalej trasy, ktorá vyhrá metrikou. Dve pravidlá, ktoré proti sebe bojujú, vytvoria tabuľku, ktorú už nikto nedokáže vysvetliť.

Zachovajte vylúčenie koncového bodu. Trasa k hostiteľovi, ktorá posiela vlastnú verejnú adresu servera VPN cez fyzickú bránu, je to, čo udržiava vonkajšie tunelové pakety v toku; vymažte ju a tunel sa pokúsi niesť sám seba. V profile split-tunnel platí rovnaká opatrnosť pre lokálne podsiete, ktoré majú tunel obísť.

Znova sa pripojte a overte obe cesty

Znova sa pripojte a potom skontrolujte oba ciele v jednom prechode. Chránená adresa a vylúčený koncový bod odpovedajú na rôzne otázky:

ip route get 10.20.5.7
ip route get 198.51.100.20

Prvá by sa mala vyriešiť cez tunelové rozhranie a druhá cez fyzickú bránu. Ak sa obe vyriešia cez tunel, vylúčenie chýba; ak ani jedna, zmena profilu sa neprejavila a pozeráte sa na iného vlastníka, než ste si mysleli.

Zapíšte účel trasy, jej vlastníka a ako dlho má žiť. Tá poznámka je to, čo zabráni ďalšiemu človeku zopakovať ten istý cyklus vymazania a opätovného pripojenia.