Kako ločiti poti, ki jih potisne VPN, od statičnih v Linuxu

Predpona se na prenosniku pojavi, ko se tunel dvigne, zato se zdi, da jo je namestil VPN. Morda res, a enak rezultat lahko pride od odjemalske skripte, ki se izvaja ob povezavi, od profila povezave, ki navaja podomrežje, ali od statične poti, ki je bila tam ves čas in je začela delovati šele, ko je vmesnik obstajal. Izbira napačnega lastnika pomeni, da se pot po vsakem čiščenju vrne, naslednja oseba pa ponovi isto popravilo. Spodnje zaporedje te tri loči, preden se karkoli spremeni.

Korak 1: poimenujte mehanizem, ki namešča predpone

Različni protokoli zagotavljajo dosegljivost na različne načine, in če vse to imenujemo objava, razliko skrijemo. Strežnik OpenVPN potisne direktivo poti po krmilnem kanalu in odjemalec jo namesti, razen če jo pull filter blokira. Konfiguracija WireGuard lokalno navaja dovoljene predpone, ki jih odjemalec uporablja tako za usmerjanje kriptoključev kot za poti, ki jih doda. Tunel IPsec se z nasprotnikom dogovori o izbirnikih prometa, jedro pa iz teh izbirnikov namesti poti.

Preden preberete katero koli tabelo, ugotovite, katerega od teh uporablja vaš tunel. Pot, potisnjena ob povezavi, ni objava usmerjevalnega protokola in ne obljublja, da je predpona dosegljiva za oddaljenim koncem. Zapišite mehanizem ob predpono, ker odloča, kam sodi popravilo.

Korak 2: primerjajte tabelo med povezavo

Shranite glavno tabelo s spuščenim tunelom, dvignite ga, shranite znova in primerjajte oba posnetka. Vse, kar se je pojavilo, pripada življenjskemu ciklu povezave, in vse, kar je ostalo, pripada lokalni konfiguraciji.

Zajemite jo z ip route show table main > /tmp/route-down.txt, povežite se in zajemite znova. Enako storite za ip -6 route, če mesto uporablja IPv6, ker manjkajoča predpona tam povzroča napake, ki se zdijo nepovezane z usmerjanjem.

Korak 3: berite metriko, ne le prisotnosti

Dva vnosa za isto predpono lahko obstajata hkrati, jedro pa izbere nižjo metriko. Statična pot z metriko 50 bo še naprej premagala potisnjeno pot s 100, čeprav sta obe vidni, zato sta »pot je tam« in »promet jo uporablja« različni trditvi.

Vprašajte jedro neposredno z ip route get 10.20.5.7 in preberite vmesnik, ki ga navaja. Če promet odhaja skozi fizični vmesnik, medtem ko v tabeli sedi pot tunela, to pojasni metrika ali dolžina predpone, ne odjemalec VPN. Ponovite poizvedbo za gostitelja, za katerega veste, da je za tunelom, in za tistega, za katerega veste, da ni, in razlika pokaže, ali se delitev obnaša, kot je bilo mišljeno.

Korak 4: poiščite vnose, ki preživijo tunel

Statične poti preživijo prekinitev po zasnovi, in od tod prihajajo zastareli vnosi. Trajna pot na vmesnik, ki ne obstaja več, lahko tiho pogoltne podomrežje, pot na znova uporabljeno ime vmesnika pa lahko po ponovnem zagonu pošlje zasebni promet skozi napačna vrata.

Preverite trajno stran na mestu, ki ga uporablja vaša distribucija, bodisi enota systemd-networkd, profil NetworkManager ali skripta v odjemalčevi mapi up. Popravljanje žive tabele z ip route del zdrži le do naslednje povezave. To brisanje obravnavajte kot preizkus hipoteze, ne kot popravilo.

Kjer oddaljeni konec zagotavlja napačno pokritost, to dvignite pri operaterju, namesto da bi filtrirali vse. Zavrnitev vseh potisnjenih nastavitev zavrže tudi DNS in politiko razdeljenega tunela, od katerih je profil odvisen.

Korak 5: potrdite povratno pot, preden obtožite odjemalca

Za povezavo med mestoma ali podomrežje za tunelom potrebuje oddaljena stran pot nazaj na naslov vašega odjemalca in omogočeno posredovanje na prehodu. Enosmerna pot je videti natanko kot napaka usmerjanja na odjemalcu, le da rokovanje in odhodni paket oba uspeta.

Filtriranje povratne poti doda na prehode Linux drugo past. Odgovor, ki prispe na drug vmesnik, kot ga napoveduje pot, se v strogem načinu zavrže, asimetrične poti čez dva ponudnika pa to zanesljivo sprožijo. Števci zavrženih na prehodu, ne na odjemalcu, povedo, ali je vzrok filtriranje.

Korak 6: preizkusite vir, ne ping

Ko je izbrana pot pravilna, odprite dejanski vir in potrdite povratni promet. Odgovor na ping dokazuje pot v eno smer in nič o storitvi, storitev, ki odgovarja na predpomnjeno povezavo, pa dokaže še manj.

Nato ponovite celotno preverjanje po ponovni povezavi. Vrednost zaporedja je v tem, da predvidi, kaj bo storila naslednja povezava, zato v vstopnico sodita tako primerjava kot metrika.