Metrika e rrugës OpenVPN: pse rruga e zgjedhur prapë humb

Keni shtuar një metrikë te një rrugë në profil, jeni rilidhur dhe trafiku prapë del nga ndërfaqja e gabuar. Numri rrallë është problemi. Një metrikë vetëm rendit kandidatët që sistemi operativ tashmë po i krahason, dhe një prefiks më specifik ose një tabelë politikash më e hershme vendos përpara se të lexohet ndonjë metrikë.

Kaloni fillimisht profilin, pastaj tabelën e instaluar dhe në fund rregullat e përzgjedhjes. Ky rend përputhet me mënyrën se si klienti ndërton rrugën dhe ju ndalon të rregulloni një vlerë që nuk hyn kurrë në krahasim.

Lexoni rreshtin e rrugës sipas rendit të fushave

Një klient Community OpenVPN 2.6 pranon katër fusha në një rresht route për IPv4: rrjetin, maskën, gateway dhe një metrikë opsionale. Pozicioni i gateway është vendi ku shkon fjala kyçe e veçantë vpn_gateway. Ajo nënkupton hopin tjetër nga ana e VPN për këtë lidhje, jo një numër tabele rrugëtimi dhe jo routerin tuaj fizik. Nëse këtë e humbisni, pjesa tjetër e rreshtit lexohet me idenë e gabuar për atë që bën. Referenca e opsioneve të rrjetit dokumenton të katër fushat.

Për një destinacion privat rreshti mund të duket kështu:

route-metric 50
route 172.20.0.0 255.255.0.0 vpn_gateway 30

30-ta eksplicite zbatohet për atë rrugë, ndërsa 50 mbetet vlera e parazgjedhur për çdo rrugë tjetër në profil që nuk jep numër. Leximi i rreshtit nga e majta në të djathtë mjafton për të kuptuar cila vlerë zbatohet ku.

route-metric është vlerë e parazgjedhur, jo rang

route-metric vendos vlerën rezervë për rrugët që nuk mbajnë numrin e tyre. Ajo nuk e ngre një rrugë mbi asgjë tjetër dhe nuk i rirendit rrugët e instaluara me metrika eksplicite.

Ky dallim ka rëndësi kur profili përzien të dyja format. Një rresht i vetëm route-metric pranë kryes duket autoritar dhe fajësohet lehtë, ndërsa rruga që mban vërtet trafikun mund të mbajë metrikën e vet tre rreshta më poshtë.

Nëse doni që një rrugë të preferojë një shteg, vendosni numrin te ajo rrugë. Nëse doni një parazgjedhje të qëndrueshme në një profil të gjeneruar, përdorni route-metric dhe lërini rreshtat individualë të qetë. Përzierja e të dyjave pa arsye është mënyra se si profili përfundon me një rrugë që asnjë nuk e shpjegon dot.

Shikoni çfarë instaloi klienti

Pasi përfundon rilidhja, pyesni kernelin, jo profilin.

ip route show liston rrugët që shtoi klienti, dhe ip route get 172.20.5.10 përgjigjet pyetjes më të dobishme: cilën rrugë do të përdorte vërtet ky destinacion dhe me cilën adresë burimi. Nëse destinacioni mungon në tabelë, klienti nuk e instaloi.

Një direktivë lokale, një push nga serveri ose një menaxher tjetër rrjeti mund të shtojë ose të heqë të njëjtin prefiks, dhe fiton ai që shkruan i fundit. Mbani rrugën drejt pikës fundore në sy ndërsa punoni, sepse lidhja ka nevojë për një shteg drejt serverit të largët që nuk kalon nëpër tunelin që po ndërton.

Pse një metrikë më e vogël prapë humb

Metrikat krahasojnë rrugët drejt të njëjtit destinacion. Ato nuk e bëjnë më specifik një prefiks të gjerë. Kur redirect-gateway def1 është në lojë, klienti instalon 0.0.0.0/1 dhe 128.0.0.0/1, dhe këto dy prefikse mbulojnë gjithë hapësirën IPv4 më specifikisht sesa 0.0.0.0/0. Një metrikë 1 në rrugën e parazgjedhur nuk i tejkalon ato.

E njëjta logjikë vlen për çdo çift që mbivendoset. Një /24 mund një /16 për një adresë brenda saj pavarësisht numrave të bashkangjitur, sepse kërkimi zgjedh fillimisht përputhjen më specifike dhe vetëm pastaj krahason metrikat mes të barabartëve.

Kjo është pjesa që duket si bug metrike dhe nuk është. Kontrolloni gjatësinë e prefiksit te të dy kandidatët përpara se të ndryshoni ndonjë numër.

Rregullat e politikave ekzekutohen përpara tabelës

Në Linux, ip rule vendos cila tabelë rrugëtimi konsultohet. Rregullat vlerësohen sipas prioritetit, kështu që një tabelë më e hershme mund të kthejë një rrugë përpara se tabela kryesore të lexohet fare. Një metrikë brenda main nuk mund të tejkalojë një përputhje në një tabelë që u konsultua e para.

Përdorni ip rule show dhe pastaj pyesni tabelën specifike, për shembull ip route show table 100, për të parë çfarë do të kthente ai rregull. Nëse një klient VPN ose një runtime kontejnerësh shtoi një rregull, përgjigja mund të jetë atje dhe jo në tabelën që po lexonit. Edhe adresa e burimit ka rëndësi, sepse një rregull mund të përputhet me burimin dhe ta zgjidhë të njëjtin destinacion ndryshe për trafikun e tunelit dhe atë të LAN.

Verifikoni destinacionin, jo renditjen

Testi që e mbyll debatin është një pyetje e vetme drejt një hosti brenda nënrrjetit të synuar, plus kontrolli i adresës së burimit që zgjodhi kerneli. Nëse ai çift përputhet me dizajnin, metrika po bën punën e saj edhe kur lista nuk duket si renditje e pastër.

Lërini IPv6 dhe DNS jashtë këtij kontrolli. Ato konfigurohen nga direktiva të tjera dhe zgjidhen nga mekanizma të tjerë, dhe një rrugë IPv4 që funksionon nuk thotë asgjë për asnjërën. Ndryshoni një shtresë në herë dhe ekzekutoni përsëri pyetjen.