Rregulli i rrugëtimit lexon shenjën e paketës, jo conntrack

Katër kontrolle ndajnë një rregull shenje që funksionon nga një rrugë që funksionon: cilën shenjë lexon rregulli, a e mban ende paketa në momentin e kërkimit, a u rivendos një shenjë lidhjeje mbi paketat e mëvonshme dhe a nëse maska dhe përparësia e rregullit përkatës lejojnë që ai të aktivizohet. Një numërues që rritet provon vetëm se një rregull i caktuar përputhej me diçka. Nuk thotë asgjë për atë që mbante paketa kur bërthama zgjodhi rrugën e saj.

Dy shenjat jetojnë në vende të ndryshme dhe skadojnë sipas orareve të ndryshme.

Dy shenja, dy jetë

Shenja e paketës i përket një skb të vetme, udhëton me të nëpër grepa dhe konsumohet nga përzgjedhësi fwmark i rrugëtimit të bazuar në politikë. Shenja e lidhjes i përket hyrjes conntrack, vazhdon nëpër paketat e atij fluksi dhe është e padukshme për rregullin e rrugëtimit derisa diçka ta kopjojë mbrapsht. Ruajtja e një shenje pakete në lidhje është një ruajtje; rivendosja e saj është një veprim i veçantë. Asnjëra nuk ndodh në mënyrë të nënkuptuar.

Prandaj një grup rregullash mund të duket konsistent ndërsa vendimi i rrugëtimit sheh zero: vlera u ruajt dhe asgjë nuk e rivendosi atë.

Kopjimi midis tyre është një hap që ju e shkruani

Dy pohimet që kanë rëndësi shkojnë në drejtime të kundërta: njëri ruan shenjën e paketës në lidhje, tjetri ngarkon shenjën e lidhjes mbi paketën. Cila ju nevojitet varet nga koha kur bëhet klasifikimi në lidhje me fluksin. Një projekt mund të ketë nevojë vetëm për shenjën e paketës, dhe shtimi i shënjimit përmes conntrack sepse një zgjidhje e anashkalimit përdorte të dyja është mënyra se si një politikë e thjeshtë fiton një modalitet të dytë dështimi.

ct mark set meta mark
meta mark set ct mark

Shkruani drejtimin pranë rregullit, sepse nuk është e dukshme nga sintaksa në shikim të parë. Rreshti i parë ruan, i dyti rivendos, dhe asnjëri nuk nënkupton tjetrin.

Klasifikoni përpara kërkimit që e konsumon

Trafiku i krijuar lokalisht dhe trafiku i përcjellë nga një LAN kalojnë nëpër grepa të ndryshëm dhe arrijnë në vendimet e rrugëtimit në momente të ndryshme. Një rregull dalës që funksionon për lidhjet e vetë ruterit nuk provon se paketa e një klienti të përcjellë u shënua përpara kërkimit të saj. Vendosni klasifikimin aty ku kërkimi që e konsumon nuk ka ndodhur ende, dhe kontrolloni nëse rregullat e mëvonshme në të njëjtin zinxhir e mbishkruajnë vlerën. Rendi brenda zinxhirit është pjesë e konfigurimit, jo një detaj implementimi.

Edhe vazhdimësia e gjendjes së lidhjes kërkon një plan të qartë. Nëse klasifikohet vetëm paketa e parë e një fluksi, paketat e mëvonshme kanë nevojë për rivendosjen e shenjës së ruajtur, përndryshe do të marrin rrugën e pashënuar. Ky është ndryshimi midis një shenje që përshkruan një lidhje dhe një shenje që përshkruan një paketë.

Bëjini rrugës një pyetje të shënuar

ip route get 10.77.0.10 mark 0x2

Shqyrtoni rregullat dhe tabelën, pastaj pyesni rrugën me shenjën të përfshirë, plus burimin ose ndërfaqen hyrëse kur ato ndikojnë në politikë. Një kërkim i zakonshëm pa shenjë përgjigjet një pyetjeje tjetër dhe do t'ju raportojë me kënaqësi rrugën që nuk e dëshironit. Kontrolloni maskën dhe përparësinë e rregullit si dhe vlerën e tij, dhe konfirmoni se tabela e zgjedhur përmban një rrugë të përdorshme.

Një numërues që rritet është provë se një rregull i caktuar përputhej me një paketë të caktuar. Nuk është provë se paketa përfundimtare mbante shenjën e synuar në pikën e duhur të vendimit.

Lexoni shenjën, drejtimin, kohën dhe maskën. Katër kontrolle, dhe rruga pushon së qeni mister.