Një tabelë VPN e zbrazët nuk bllokon asgjë në vetvete

Një rregull politike i dërgon paketat e shënuara në një tabelë të dedikuar, dhe pritshmëria e zakonshme është që humbja e rrugës VPN t’i bllokojë ato. Mekanizmi bën diçka tjetër. Kur tabela nuk përmban asnjë rrugë përputhëse, kërkimi vazhdon te rregulli tjetër në vend që të ndalet, dhe tabela main ende mban një rrugë të paracaktuar të zakonshme për uplink. Rezultati është një konfigurim që duket fail-closed dhe sillet si fail-open.

Asgjë nuk është prishur; kështu është specifikuar rrugëtimi i bazuar në politika.

Kërkimi vazhdon kur tabela nuk ka asgjë

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Merrni atë grup rregullash: një kërkim i shënuar shkon në tabelën 42, dhe një rregull i mëvonshëm dërgon të njëjtën shenjë në një tabelë të quajtur default. Sa kohë tabela 42 mban një rrugë të paracaktuar të përdorshme, kërkimi i parë siguron rrugën. Kur ajo rrugë zhduket dhe asgjë tjetër në tabelën 42 nuk përputhet, kërkimi nuk bëhet hedhje; përpunimi kalon te rregulli tjetër, dhe kur edhe ai nuk gjen asgjë, arrin tabelën main. Asgjë në atë sekuencë nuk raporton cili rregull dha përgjigjen përfundimtare, prandaj një lidhje që funksionon duket si një politikë që funksionon.

Tabela 253, e quajtur zakonisht default, është një tabelë e zakonshme rrugëtimi dhe zakonisht është bosh. Emri i saj nuk është udhëzim për të hedhur paketat dhe nuk është e njëjta gjë me një rrugë destinacioni të paracaktuar brenda një tabele.

Veprimet terminale e përfundojnë kërkimin

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Një rregull terminal mund të pasojë kërkimin VPN në vend të një kërkimi në një tabelë bosh. Me të njëjtën shenjë, veprimi prohibit i vendosur pas rregullit të tabelës 42 e përfundon kërkimin kur ajo tabelë nuk jep asgjë, dhe kthen një refuzim administrativ në vend që t’i japë tabelës main një shans tjetër. Unreachable dhe blackhole janë gjithashtu terminale, me sjellje tjetër gabimi për dërguesin.

Një rrugë e tipit throw është ndryshe: brenda asaj tabele sillet sikur asgjë të mos jetë përputhur, prandaj rregullat e mëvonshme marrin gjithsesi radhën. Kjo e bën throw të dobishëm për një tërheqje të qëllimshme dhe të gabuar si bllokim përfundimtar.

Verifikoni me shenjën dhe ndërfaqen reale

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Shqyrtoni rregullat dhe tabelën reale, jo një diagram, pastaj pyesni rrjedhën me kontekstin e burimit, shenjës dhe hyrjes që ajo ka vërtet. Një kërkim vetëm-lexim i drejtuar nga një destinacion, të cilit i jepen adresa e burimit, ndërfaqja dhe shenja, raporton rrugën që kerneli do të zgjidhte pa dalë asnjë paketë. Dhënia e një shenje në pyetje nuk provon që firewalla shënon trafikun real; ai është një kontroll i veçantë i rregullave të shënimit. Konfirmoni vlerën me një numërues ose një regjistër para se të nxirrni përfundime nga pyetja.

Kërkesat e gjeneruara lokalisht kanë nevojë për kontekstin e tyre, sepse rruga e shënimit shpesh ndryshon nga ajo e trafikut të përcjellë. Kontrollojini me ndërfaqen e daljes që aplikacioni do të përdorte vërtet.

Dy gjendje dështimi, jo një

Një gjendje dështimi është zhdukja e rrugës VPN dhe rënia e trafikut në uplink. Një tunel i vdekur, rruga e të cilit mbetet e instaluar, është tjetër: paketat mbeten të drejtuara në një rrugë të papërdorshme në vend që të bien, dhe simptoma është humbje e heshtur, jo një lidhje e drejtpërdrejtë e dukshme. Provoni të dyja, dhe gjithashtu sjelljen në nisje, rilidhje dhe ndalim të shërbimit.

Një rregull i tillë ndihmon vetëm sa kohë ekziston dhe sa kohë paketat ende mbajnë shenjën që e zgjedh. Një skript ndalimi që fshin rregullin, ose një rrugë që heq shenjën, e rikthen sjelljen e hapur. Ato kalime ia vlen të provohen.

Zbatojeni politikën në IPv6 veçmas dhe mbani përjashtimet e miratuara të pikave fundore të qarta, jo të nënkuptuara.