Klienti VPN fshin rrugën që shtuat? Përdorni një tabelë politikash

Një /24 për një printer laboratori humbet midis dy thirrjeve ip route show, dhe regjistri i klientit thotë vetëm se rrjeti ndryshoi. Nuk kishte asgjë të gabuar me komandën, prefiksin ose privilegjet tuaja. Një klient korporativ që zotëron modelin e rrugëzimit të hostit e rivendos atë model sa herë që dikush tjetër e redakton, kështu që hyrja që shtuat hiqet si ndërhyrëse. Të luftosh me të në të njëjtën tabelë është një pozicion i humbur. Zgjidhja është të ndaloni plotësisht konkurrencën për atë tabelë dhe ta vendosni përjashtimin atje ku monitori nuk shikon kurrë.

Monitori shpjegon rrugën e humbur

Tregojeni këtë përpara se të ridizajnoni ndonjë gjë: lexoni tabelën, shtoni prefiksin, pritni disa sekonda, lexoni përsëri. Nëse hyrja mungon dhe nuk keni shtypur asgjë për ta hequr, një agjent po vëzhgon. Gjeni procesin që zotëron këtë sjellje dhe lexoni regjistrin e tij rreth momentit kur rruga zhduket, sepse i njëjti shërbim zakonisht mirëmban tunelin, filtrat e paketave dhe konfigurimin e zgjidhësit. Ta vrisni atë që rruga juaj të mbetet është një shkëmbim për të cilin do të pendoheni në rilidhjen tjetër.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Prefiksi dhe ndërfaqja më sipër janë vendmbajtëse. Kopjimi i një emri ndërfaqeje nga një shembull që funksionon në një makinë tjetër është arsyeja më e zakonshme pse ky demonstrim nuk prodhon absolutisht asgjë.

Një tabelë e dytë është e padukshme për monitorin

Agjenti rindërton vetëm tabelën që zotëron. Jepini përjashtimit tabelën e vet plus një rregull që dërgon atje destinacionet përkatëse, dhe tabela kryesore nuk ndryshon kurrë, kështu që agjenti nuk ka çfarë të korrigjojë. Kjo është e gjithë ideja: një hapësirë emrash rrugësh që mirëmbahet nga dikush tjetër, dhe një tjetër që e prekni vetëm ju.

Shkëmbimi është mirëmbajtja. Dy objekte mund të largohen nga njëri-tjetri, dhe pozicioni i rregullit në listë ka po aq rëndësi sa rruga brenda tabelës që ai zgjedh.

Ndërtoni përjashtimin dhe më pas bëjeni të fitojë

Krijoni tabelën, instaloni rrugën dhe shtoni një rregull që zgjedh tabelën për atë destinacion. Përparësia vendos nëse rregulli juaj konsultohet para apo pas atyre që ka futur klienti, dhe një rregull i renditur më vonë nuk arrihet kurrë, prandaj numri është pjesë e projektimit dhe jo zbukurim. Pastaj pyesni kernelin çfarë do të bënte në të vërtetë, që është një pyetje tjetër nga ajo që konfiguruat.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get zgjidh rrugën që do të përdorte kerneli, duke përfshirë pajisjen dhe adresën e burimit. Nuk shtyp identifikuesin e tabelës, prandaj çiftojeni me ip rule show kur duhet të konfirmoni cila tabelë fitoi. Së bashku ata përgjigjen pyetjes së vetme të rëndësishme: a del trafiku drejt asaj adrese atje ku kishit ndërmend?

Forma të tjera të së njëjtës ide

Modeli përgjithësohet sapo të hiqni dorë nga të menduarit në destinacione. Një nënrrjet lokal mund të mbetet i arritshëm ndërsa tuneli mban rrugën e parazgjedhur. Përgjigjet nga një server SSH i lidhur me LAN mund të dalin përmes ndërfaqes nga e cila mbërritën në vend që të zhduken në tunel. Dhe një rregull i bazuar në ndërfaqe mund të shtyjë në tunel gjithçka që mbërrin në një ndërfaqe pa tel, ndërsa trafiku që gjeneron vetë hosti mbetet në Ethernet:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Rasti i fundit përputhet me ndërfaqen hyrëse dhe jo me destinacionin, që është një lloj tjetër rregulli dhe një model tjetër mendor. Trafiku i përcjellë ka nevojë gjithashtu për net.ipv4.ip_forward të aktivizuar, dhe skaji i largët duhet ta rrugëzojë intervalin e burimit mbrapsht ose ta përkthejë; një rregull në një makinë nuk krijon kurrë gjysmën tjetër të rrugës.

Trajtojeni rregullin si të përdorshëm një herë

Rregullat dhe rrugët e tabelës jetojnë në memorie. Pas një rilidhjeje pajisja e tunelit mund të riemërtohet, adresa e caktuar mund të zhvendoset, dhe një rregull që mban vlerën e vjetër ndalon së përputhuri në heshtje. Riaplikoni të gjithë ndryshimin nga një skript i vetëm që e zotëron atë, pastaj rikontrolloni ip rule show, emrin aktual të pajisjes dhe një ip route get të ri kundrejt një destinacioni real përpara se t'i besoni përjashtimit.

Dy kufij mbijetojnë pavarësisht nga kujdesi. Klienti ende kontrollon rregullat e tij të filtrimit dhe konfigurimin e zgjidhësit, dhe një përjashtim rrugëzimi nuk zëvendëson asnjërën. Nëse klienti fshin gjithashtu rregullin tuaj të politikës, rrugët e mbështetura janë politika e tij e tunelit të ndarë ose një klient që ju lejon të menaxhoni rrugët, si OpenConnect; patch-imi i një binari të shitësit për të heshtur monitorin e tij është një angazhim mirëmbajtjeje me një kontroll integriteti bashkëngjitur.

Shkruani numrin e tabelës, përparësinë dhe destinacionin në një shënim pranë skriptit. Përndryshe personi tjetër gjen një rregull që tejkalon tunelin dhe nuk ka asnjë mënyrë për të ditur pse.