Зашто се избрисана VPN рута враћа после поновног повезивања

Брисање активне руте не мења ништа када је профил, push или boot јединица поново створи. Пронађите власника, измените га тамо и проверите при поновном повезивању.

Рута коју сте избрисали ручно враћа се после следећег поновног повезивања, а табела изгледа баш као пре. Ово није грешка у рутирању: нешто поново ствара запис из конфигурације или из радње у животном циклусу везе. Већина runbook-ова зауставља се на активној табели, зато се чини да брисање ради минут и затим не успе. Идентификујте власника, измените га и докажите при поновном повезивању.

Ко је инсталирао руту

Почните са списком кандидата, а не са поправком. VPN профил може носити сопствене руте, сервер их може push-овати при повезивању, профил мрежног менаџера их може декларисати, boot јединица или скрипта их може додати, а IPsec имплементације инсталирају руте за селекторе саобраћаја о којима преговарају. Правила рутирања по политици такође могу потпуно преусмерити саобраћај у другу табелу.

Време их раздваја брже од конфигурационе археологије. Запис који се појави у тренутку када се интерфејс подигне припада клијенту; онај који стигне секунду касније обично долази од server push-а; онај који постоји при подизању припада сачуваној конфигурацији. Забележите табелу пре и после повезивања, прекида и рестарта, и образац ће именовати власника. Рута која се враћа само при рестарту услуге указује на јединицу, а не на VPN.

Прочитајте табелу пре уређивања

Гледајте сопствени приказ језгра, а не сачувану датотеку. Колона протокола показује шта је инсталирало сваки запис:

ip route show
ip route show table all
ip rule show

Поље протокола, метрика и број табеле говоре вам да ли гледате статичан запис, запис који је направило језгро или нешто што је додао демон. Списак правила је важан јер претрага може потпуно да напусти главну табелу, што измену тамо чини невидљивом за апликацију коју дебагујете. Читајте ред слева надесно: одредиште, пролаз, уређај, протокол и метрика.

Затим питајте језгро коју би руту заправо користило. Заштићена адреса је боља сонда од јавне:

ip route get 10.20.5.7

Измените власника, а не симптом

Када је власник познат, измена припада том власнику. Уклоните руту из профила клијента, исправите push-овану руту на серверу или уредите везу мрежног менаџера уместо да додате конкурентну трајну руту која побеђује по метрици. Два правила која се међусобно боре стварају табелу коју касније нико не може да објасни.

Задржите изузетак крајње тачке. Рута до хоста која шаље сопствену јавну адресу VPN сервера кроз физички пролаз је оно што одржава ток спољашњих тунелских пакета; избришите је и тунел покушава да носи сам себе. У split-tunnel профилу иста пажња важи за локалне подмреже које треба да заобиђу тунел.

Поново се повежите и проверите оба пута

Поново се повежите, затим проверите оба одредишта у једном пролазу. Заштићена адреса и изузета крајња тачка одговарају на различита питања:

ip route get 10.20.5.7
ip route get 198.51.100.20

Прво би требало да се реши кроз интерфејс тунела, а друго кроз физички пролаз. Ако се оба реше кроз тунел, изузетак недостаје; ако ниједно, измена профила није ступила на снагу и гледате другог власника од оног што сте мислили.

Запишите сврху руте, њеног власника и колико дуго треба да живи. Та белешка спречава следећу особу да понови исти циклус брисања и поновног повезивања.

Повезани чланци