Usmerjevalno pravilo bere oznako paketa, ne conntrack
Usmerjanje na podlagi pravilnika bere oznako paketa; conntrack shranjuje drugo vrednost z daljšo življenjsko dobo. Kopiranje med njima je korak, ki ga mora nekdo napisati.
Štiri preverjanja ločijo delujoče pravilo oznake od delujoče poti: katero oznako bere pravilo, ali jo paket pri iskanju še nosi, ali je bila oznaka povezave obnovljena na poznejših paketih in ali ali maska in prioriteta ustreznega pravila dovoljujeta, da se sproži. Naraščajoči števec dokazuje le, da se je neko pravilo ujemalo z nečim. Ne pove ničesar o tem, kaj je paket nosil, ko je jedro izbiralo njegovo pot.
Oznaki živita na različnih mestih in se iztečeta po različnih urnikih.
Dve oznaki, dve življenji
Oznaka paketa pripada enemu skb, potuje z njim skozi kavlje in jo porabi izbirnik fwmark usmerjanja na podlagi pravilnika. Oznaka povezave pripada vnosu conntrack, vztraja skozi pakete tega toka in je za usmerjevalno pravilo nevidna, dokler je nekaj ne kopira nazaj. Shranjevanje oznake paketa v povezavo je shranjevanje; obnavljanje je ločeno dejanje. Niti eno se ne zgodi samoumevno.
Zato je lahko nabor pravil videti dosleden, medtem ko odločitev o poti vidi ničlo: vrednost je bila shranjena in nič je ni obnovilo.
Kopiranje med njima je korak, ki ga napišete sami
Dve pomembni izjavi tečeta v nasprotnih smereh: ena shrani oznako paketa v povezavo, druga naloži oznako povezave na paket. Katero potrebujete, je odvisno od tega, kdaj se razvrščanje zgodi glede na tok. Zasnova lahko potrebuje le oznako paketa, dodajanje označevanja prek conntrack pa zato, ker je neka obhodna rešitev uporabljala oboje, je način, na katerega preprosta politika dobi drugi način odpovedi.
ct mark set meta mark meta mark set ct mark
Smer zapišite poleg pravila, ker iz sintakse na prvi pogled ni očitna. Prva vrstica shrani, druga obnovi in nobena ne implicira druge.
Razvrstite pred iskanjem, ki to porabi
Lokalno ustvarjen promet in promet, posredovan iz omrežja LAN, prehajata skozi različne kavlje in do odločitev o poti prideta ob različnih trenutkih. Izstopno pravilo, ki deluje za lastne povezave usmerjevalnika, ne dokazuje, da je bil paket posredovanega odjemalca označen pred svojim iskanjem. Razvrščanje postavite tja, kjer iskanje, ki ga porabi, še ni poteklo, in preverite, ali poznejša pravila v isti verigi prepišejo vrednost. Vrstni red v verigi je del konfiguracije, ne podrobnost izvedbe.
Trajnost stanja povezave prav tako potrebuje jasen načrt. Če je razvrščen le prvi paket toka, poznejši paketi potrebujejo obnovitev shranjene oznake, sicer bodo šli po neoznačeni poti. To je razlika med oznako, ki opisuje povezavo, in oznako, ki opisuje paket.
Poti zastavite označeno vprašanje
ip route get 10.77.0.10 mark 0x2
Preglejte pravila in tabelo, nato povprašajte pot z vključeno oznako, skupaj z virom ali vhodnim vmesnikom, kadar ta vpliva na politiko. Običajno iskanje brez oznake odgovarja na drugo vprašanje in bo z veseljem poročalo o poti, ki si je niste želeli. Preverite masko in prioriteto pravila ter njegovo vrednost, in potrdite, da izbrana tabela vsebuje uporabno pot.
Naraščajoči števec je dokaz, da se je neko pravilo ujemalo z nekim paketom. Ni dokaz, da je končni paket nosil želeno oznako na pravi točki odločitve.
Preberite oznako, smer, čas in masko. Štiri preverjanja in pot neha biti uganka.