Čo vám tabuľka trás VPN povie a čo nie

Pripojíte sa, spustíte výpis trás a uvidíte podsiete, o ktorej ste nikdy nepočuli, ako mieri do tunela. Ten riadok hovorí jednu vec presne a niekoľko vecí vôbec nie. Zaznamenáva, ako bude tento stroj preposielať pakety na daný prefix, nič o tom, ktoré hosty tam existujú, a nič o tom, čo môže dosiahnuť váš účet. Prečítať ho správne trvá minútu; čítať ho ako inventár trvá oveľa dlhšie, kým sa to odnaúčite.

Čítajte tabuľku ako miestne pokyny

Trasa je pokyn na preposielanie, ktorý drží miestne jadro: pre tento prefix použite toto rozhranie a tento ďalší skok. Dĺžka prefixu určuje, aký konkrétny pokyn je, a vyhráva najdlhšia zhoda. Nič v tom pravidle nespomína oprávnenia, stav služby ani vzdialenú topológiu.

Pravidlá politiky môžu zasiahnuť skôr, než sa tabuľka použije, a preto trasa môže existovať a napriek tomu nebyť tou, ktorú daný paket použije. Čítajte pravidlá popri tabuľke a potom sa jadra opýtajte, ktorú cestu by zvolilo pre konkrétny cieľ. Odpoveď pre jednu adresu má väčšiu hodnotu ako stránka prefixov a je jedinou odpoveďou, ktorá odráža značky, menné priestory a väzby rozhraní, ktoré klient použil.

Široký prefix nie je katalóg

Prefix /16 smerovaný tunelom neznamená šestnásť tisíc dostupných hostov a predvolená trasa znamená ešte menej. Server rozhoduje, kto odpovie, firewall rozhoduje, čo je dovolené, a účet rozhoduje, čo je oprávnené.

Úzka tabuľka má opačnú pascu: chýbajúci prefix môže znamenať, že cieľ je dostupný inou cestou, alebo jednoducho že nie je vôbec smerovaný. Tieto dva prípady vyzerajú rovnako, kým ich neotestujete. Porovnávajte tabuľku so zdrojom, ktorý vám povedali použiť, nie so svojimi očakávaniami, čo by VPN mala obsahovať.

Odkiaľ záznamy pochádzajú

Trasy prichádzajú najmenej zo štyroch miest: z konfiguračného súboru, od servera, ktorý pri nadväzovaní spojenia pretlačí trasu, od správcu siete, ktorý vlastní rozhranie, a od človeka, ktorý počas incidentu napíše príkaz. Každý má inú životnosť a iného vlastníka.

Tá napísaná počas výpadku je tá, ktorá zmizne po reštarte a neobjaví sa v ničej dokumentácii. Trasa pretlačená serverom sa mení, keď sa zmení server, a preto sa nevysvetlený nový prefix často objaví po aktualizácii brány, nie po zmene klienta. manuál ip-route dokumentuje syntax tabuľky a polí, ak potrebujete čítať príznaky.

Overte trasu proti zmluve o službe

Užitočné porovnanie je medzi tabuľkou a službou, ktorú vám sľúbili: názov, rozsah adries, port a vlastník. Napíšte tieto štyri vedľa prefixu a medzery budú viditeľné.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Ak prefix existuje a služba stále zlyháva, tabuľka urobila svoju prácu a problém je inde: preklad mien, firewall na druhej strane alebo účet bez správnej skupiny. Ak prefix chýba, otázka je, kto ho mal dodať, nie čo napísať. Každá z tých dvoch odpovedí pomenuje tím, ktorý sa treba opýtať nabudúce, a to je jediný užitočný výstup čítania tabuľky trás. Napíšte to meno, kým zatvoríte terminál.

Zaznamenajte stav pred a po každej zmene, s dátumom a rozhraním. Tabuľka trás je snímka jedného okamihu na jednom stroji a dôkazom sa stane až vtedy, keď niekto zapíše, kedy bola urobená.