Рекурзивно усмеравање: када тунел ухвати сопствене пакете

Тунел се подигне, дневник покаже завршено руковање, а секунду касније иста сесија умире и поново се повезује у петљи. Овај образац има одређени узрок: рута до сервера сада показује унутар тунела, па се пакети који носе тунел шаљу кроз тунел. У аутентификацији се ништа није променило, зато поновни унос података за пријаву ништа не мења. Упоредите спољашњи пут пре и после промене руте и рекурзија постаје видљива.

Прво проверите спољашњи пут

У игри су два пакета, а не један. Унутрашњи пакет припада апликацији и требало би да буде шифрован, док је спољашњи пакет адресиран на сервер и мора да до њега стигне путем који не зависи од тунела.

ip route get 198.51.100.7
ip rule show
ip route show table all | grep -F 198.51.100.7
wg show wg0 endpoints

Питајте језгро за руту до адресе сервера након што је тунел подигнут, и поново након што се подразумевана рута променила. Следећи скок који слети на уређај тунела јесте рекурзија и видљив је без икаквог хватања пакета. Везивање за интерфејс, ознаке или мрежни простор имена могу учинити обичну претрагу непотпуном, зато користите контекст који користи сам клијент. Када одговор изгледа исправно, али се сесија и даље врти у петљи, читајте правила политике усмеравања, а не само главну табелу.

Зашто сесија преживи тренутак

Руковање се заврши пре него што се нова рута инсталира, зато прве секунде изгледају здраво. Чим клијент дода подразумевану руту, следећи спољашњи пакет пође за њом у интерфејс кроз који тај пакет мора да прође. Сервер не види ништа, клијент поново шаље, а покушај или истекне или убије сесију и почне изнова.

Тај редослед објашњава зашто тунел може да ради на преносном рачунару, а да подбаци на рутеру, и зашто квар често почиње са почетком саобраћаја, а не у тренутку повезивања. Објашњава и петљу: свако поновно покретање успостави сесију пре него што је рута учини немогућом.

Откријте чији је изузетак за крајњу тачку

Подржани клијенти сами уреде свој изузетак: руту до хоста сервера кроз изворни пролаз или ознаку која држи спољашњу утичницу изван тунела. Питање је да ли га је нешто друго уклонило или прегазило.

За IPsec заснован на рутама прегледајте селекторе политике који одлучују који пакети улазе у тунел и потврдите да је адреса партнера из њих искључена. За WireGuard ознака заштитног зида интерфејса и његова правила политике држе транспортне пакете изван тунела, па ручно додата подразумевана рута може да поквари тај распоред. Други VPN профил или административна скрипта која преписује подразумевану руту чест је кривац. Широка правила заобилажења додата једно по једно уобичајен су резултат и она претварају грешку у усмеравању у табелу коју нико не може да одржава.

Проверите поново после промене мреже

Рута до хоста кроз Wi-Fi пролаз исправна је док се машина не пресели на другу мрежу. Исти симптом се тада враћа без икакве промене конфигурације.

Забележите адресу крајње тачке, руту пре и после повезивања и интерфејс који је свака користила. Те три чињенице обично раздвајају грешку клијента од прегажења и остају и после особе која их је прикупила.

Повежите се поново на новој мрежи и поновите читање. Ако изузетак опет недостаје, поправка припада профилу који га поседује, а не једнократној команди откуцаној током прекида.