Zakaj se izbrisana pot VPN vrne po ponovni povezavi

Pot, ki ste jo izbrisali ročno, se po naslednji ponovni povezavi vrne, tabela pa je videti natanko tako kot prej. To ni napaka pri usmerjanju: nekaj znova ustvari vnos iz konfiguracije ali iz dejanja v življenjskem ciklu povezave. Večina runbookov se ustavi pri aktivni tabeli, zato se zdi, da brisanje deluje eno minuto, nato pa spodleti. Prepoznajte lastnika, spremenite ga in dokažite pri ponovni povezavi.

Kdo je namestil pot

Začnite s seznamom kandidatov, ne s popravkom. Profil VPN lahko nosi lastne poti, strežnik jih lahko pošilja ob povezavi, profil upravitelja omrežja jih lahko deklarira, zagonska enota ali skripta jih lahko doda, implementacije IPsec pa namestijo poti za izbrane vire prometa, o katerih se pogajajo. Pravila usmerjanja po politiki lahko promet tudi povsem preusmerijo v drugo tabelo.

Čas jih loči hitreje kot arheologija konfiguracije. Vnos, ki se pojavi v trenutku, ko se vmesnik dvigne, pripada odjemalcu; tisti, ki pride sekundo pozneje, običajno pride iz pusha strežnika; tisti, ki obstaja ob zagonu, pripada shranjeni konfiguraciji. Zabeležite tabelo pred in po povezavi, prekinitvi in ponovnem zagonu, in vzorec bo imenoval lastnika. Pot, ki se vrne le ob ponovnem zagonu storitve, kaže na enoto, ne na VPN.

Preberite tabelo, preden jo uredite

Poglejte pogled samega jedra, ne shranjene datoteke. Stolpec protokola kaže, kaj je namestilo vsak vnos:

ip route show
ip route show table all
ip rule show

Polje protokola, metrika in številka tabele vam povedo, ali gledate statični vnos, vnos, ki ga je ustvarilo jedro, ali kaj, kar je dodal demon. Seznam pravil je pomemben, ker iskanje lahko povsem zapusti glavno tabelo, kar naredi urejanje tam nevidno za aplikacijo, ki jo razhroščujete. Preberite vrstico od leve proti desni: cilj, prehod, naprava, protokol in metrika.

Nato vprašajte jedro, katero pot bi dejansko uporabilo. Zaščiteni naslov je boljša sonda kot javni:

ip route get 10.20.5.7

Spremenite lastnika, ne simptoma

Ko je lastnik znan, sprememba pripada njemu. Odstranite pot iz profila odjemalca, popravite poslano pot na strežniku ali uredite povezavo upravitelja omrežja, namesto da dodate konkurenčno trajno pot, ki zmaga po metriki. Dve pravili, ki se borita med seboj, ustvarita tabelo, ki je pozneje nihče ne more razložiti.

Ohranite izvzetje končne točke. Pot do gostitelja, ki pošilja lastni javni naslov strežnika VPN skozi fizični prehod, je tisto, kar ohranja zunanje pakete tunela v toku; če jo izbrišete, poskuša tunel nositi samega sebe. V profilu split-tunnel velja enaka skrb za lokalna podomrežja, ki naj bi se tunelu izognila.

Znova se povežite in preverite obe poti

Znova se povežite, nato preverite oba cilja v enem prehodu. Zaščiteni naslov in izvzeta končna točka odgovarjata na različna vprašanja:

ip route get 10.20.5.7
ip route get 198.51.100.20

Prvi bi se moral razrešiti skozi vmesnik tunela, drugi pa skozi fizični prehod. Če se oba razrešita skozi tunel, izvzetja ni; če noben, sprememba profila ni začela veljati in gledate drugega lastnika, kot ste mislili.

Zapišite namen poti, njenega lastnika in kako dolgo naj živi. Ta opomba je tisto, kar prepreči naslednji osebi, da ponovi isti cikel brisanja in ponovne povezave.