Шта вам говори VPN табела рута и шта не може

Повежете се, покренете листу рута и видите подмрежу за коју никад нисте чули како показује на тунел. Тај ред прецизно тврди једну ствар, а неколико ствари никако. Бележи како ће ова машина прослеђивати пакете том префиксу, ништа о томе који хостови тамо постоје и ништа о томе до чега ваш рачун може доћи. Исправно читање траје минут; читање као инвентара траје много дуже док се не одучите.

Читајте табелу као локалне инструкције

Рута је инструкција за прослеђивање коју држи локално језгро: за овај префикс користите овај интерфејс и овај следећи скок. Дужина префикса одлучује колико је инструкција конкретна, а најдуже подударање побеђује. Ништа у том правилу не помиње дозволе, здравље сервиса ни удаљену топологију.

Правила политике могу интервенисати пре него што се табела прегледа, због чега рута може постојати, а ипак не бити она коју користи дати пакет. Читајте правила уз табелу, па питајте језгро који би пут одабрало за конкретно одредиште. Одговор за једну адресу вреди више од странице префикса и једини је одговор који одражава ознаке, просторе имена и везивања интерфејса које је клијент применио.

Широк префикс није каталог

Префикс /16 рутиран кроз тунел не значи шеснаест хиљада доступних хостова, а подразумевана рута значи још мање. Сервер одлучује ко одговара, firewall одлучује шта је дозвољено, а рачун одлучује шта је овлашћено.

Уска табела има обрнуту замку: префикс који недостаје може значити да је одредиште доступно другим путем или једноставно да уопште није рутирано. Та два случаја изгледају исто док их не проверите. Упоредите табелу са ресурсом који вам је речено да користите, а не са својим очекивањима шта би VPN требало да садржи.

Одакле долазе уноси

Руте долазе са најмање четири места: из конфигурационе датотеке, од сервера који гура руту током успостављања везе, од мрежног менаџера који поседује интерфејс и од особе која куца команду током инцидента. Свако има другачији животни век и другачијег власника.

Она коју су откуцали током прекида је она која нестаје при поновном покретању и не појављује се ни у чијој документацији. Рута коју гура сервер мења се када се сервер промени, због чега се необјашњен нови префикс често појављује након ажурирања гејтвеја, а не након промене клијента. ip-route приручник документује синтаксу табеле и поља ако треба да читате заставице.

Проверите руту према уговору о сервису

Корисно поређење је између табеле и сервиса који вам је обећан: назив, опсег адреса, порт и власник. Запишите та четири поред префикса и празнине постају видљиве.

ip route show table all dev tun0
ip route get 10.20.5.9
ip rule show

Ако префикс постоји, а сервис и даље не ради, табела је одрадила свој посао и проблем је другде: разрешавање имена, firewall на другој страни или рачун без праве групе. Ако префикс недостаје, питање је ко га је требао доставити, а не шта откуцати. Сваки од два одговора именује тим који следеће питати, и то је једини користан резултат читања табеле рута. Запишите то име пре него што затворите терминал.

Забележите пре и после сваке промене, са датумом и интерфејсом. Табела рута је снимак једног тренутка на једној машини и постаје доказ тек када неко запише када је направљена.