Kile ambacho uelekezaji kwa sera hubadilisha katika trafiki ya VPN, na kile ambacho hakibadilishi

Uelekezaji kwa sera hujibu swali tofauti na lile ambalo maelezo mengi ya utatuzi wa matatizo huuliza. Jedwali kuu husema ni wapi marudio yanaenda; kanuni za sera husema ni jedwali gani linatazamwa hata kidogo, na zinaweza kuamua hilo kutokana na anwani ya chanzo, alama ya pakiti, au kiolesura ambacho pakiti ilifika. Wakati handaki linajifanya kwa namna isiyo sawa, seti ya kanuni mara nyingi ndiyo sababu na jedwali la uelekezaji mara nyingi sivyo.

Kanuni huchagua jedwali, kisha jedwali huchagua njia

Kila kanuni hubeba kipaumbele, sharti la kufanana na jedwali lengwa. Kiini hupitia kanuni kwa mpangilio wa kipaumbele na huacha kwenye mechi ya kwanza, kisha hufanya utafutaji wa kawaida wa kiambishi awali kirefu zaidi katika jedwali hilo. Kanuni inayoelekeza kwenye jedwali tupu huanguka kwenye kile ambacho kanuni inayofuata huchagua, na hivyo kanuni iliyoandikwa kwa uangalifu inaweza kuonekana kama haifanyi chochote.

Ndiyo sababu kuchapisha jedwali kuu mara nyingi hukielezi mteja wa VPN anayefanya kazi. Wateja kwa kawaida huingiza kanuni kwenye namba za chini za kipaumbele, muda mrefu kabla ya kanuni chaguo-msingi ya jedwali kuu, kwa hivyo pakiti haifiki kamwe njia uliyokuwa ukiiangalia. Kupunguza kipimo katika jedwali kuu hakubadilishi chochote kwa trafiki ambayo tayari imepotoshwa.

Kanuni pia inaweza kwa makusudi kuifanya kiambishi awali kuwa shimo jeusi au kisichofikiwa. Wateja wengine huongeza kanuni kama hiyo kama swichi ya usalama, na hapo kuanguka huonekana kama handaki lililovunjika badala ya lililowekwa.

Soma seti ya kanuni kama mfululizo, si kama orodha

Chapisha kanuni pamoja na vipaumbele vyake na jedwali ambazo hurejelea, kisha chapisha kila jedwali linalobeba njia chaguo-msingi au njia ya handaki. Mpangilio ndiyo sehemu muhimu, na ndiyo sehemu ambayo picha ya skrini kwa kawaida huiacha:

ip rule show
ip route show table all | sed -n '1,60p'
ip route get 198.51.100.20 from 10.8.0.2
ip route get 198.51.100.20 from 10.8.0.2 mark 0x1

Amri mbili za mwisho ndizo zinazobadilisha nadharia kuwa uchunguzi, kwa sababu zinauliza kiini kingefanya nini kwa chanzo hicho na alama hiyo. Ikiwa jibu linabadilika alama inapobadilika, kanuni inayotegemea alama inafanya kazi na mtihani wowote unaoacha alama unajaribu pakiti tofauti. Muunganisho wa nje unastahili kanuni yake mwenyewe. Handaki linaloelekeza trafiki yote kupitia yenyewe lazima liondoe anwani ya mwisho ambayo inaunganisha nayo, vinginevyo pakiti zilizosimbwa hurudishwa kwenye handaki walilolitoka hivi punde. Wateja wengi huingiza uondoaji huo kiotomatiki, na seti ya kanuni iliyohaririwa kwa mkono ndipo inapokosekana.

Alama na soketi: njia mbili ambazo wateja hugawanya trafiki

Wateja wengine huweka alama kwenye pakiti ndani ya firewall na kuongeza kanuni inayolingana na alama. Wengine hutumia uelekezaji wa ngazi ya soketi, wakiweka njia kwenye soketi kabla ya kuunganisha. Ya kwanza inaonekana katika ip rule; ya pili haionekani, na haitaonekana katika utafutaji wa jumla.

Ikiwa programu ya majaribio inajifanya tofauti na programu ambayo inapaswa kuiwakilisha, angalia kama programu inaweka alama au inajifunga kwa kifaa. Tofauti hiyo si fumbo pindi utaratibu unapotajwa, na inaeleza kwa nini curl kutoka shell na kichupo cha kivinjari vinaweza kuchukua njia tofauti kwenye mashine moja. Mbinu zote mbili ni uelekezaji kwa sera kwa maana pana: huchagua njia kwa kitu kingine isipokuwa marudio. Hakuna hata moja inayoidhinisha trafiki, na hakuna inayobadilisha kanuni za firewall au vitambulisho ambavyo mwenzake anatarajia.

Fuatilia umiliki kabla ya kuongeza kanuni nyingine

Kanuni husakinishwa na kitu. Mteja wa VPN, msimamizi wa mtandao na skripti iliyoandikwa kwa mkono kila mmoja anaweza kuongeza kanuni wakati wa kuanza, na mantiki ya kuunganisha tena inaweza kuacha seti iliyotangulia nyuma. Kanuni mbili zilizopitwa na wakati kutoka wasifu wa awali zitaendelea kuelekeza trafiki muda mrefu baada ya wasifu kufutwa.

Gundua ni mchakato gani unamiliki kanuni hiyo kwa kipaumbele chake na umbo lake, na angalia kama mmiliki huyo anaandika upya seti kwenye kila muunganisho. Ikiwa anafanya hivyo, kanuni ya mkono iliyoongezwa leo hupotea kesho, na marekebisho yanapaswa kuwa kwenye usanidi wa mteja na si kwenye faili ya historia ya shell. Kufuta seti yote ya kanuni kwa ajili ya jaribio ni njia ya mkato yenye kuvutia na gharama inayotabirika: pia huondoa kanuni ambazo mteja anahitaji ili handaki lake mwenyewe liendelee kufanya kazi. Futa kanuni moja kwa wakati mmoja, au jaribu kwenye mashine unayoweza kuwasha upya.

Thibitisha wigo kwa mitiririko miwili, si mmoja

Marekebisho huthibitishwa tu na mtiririko ambao unapaswa kuathiriwa na mtiririko ambao haupaswi. Chagua marudio ambayo sera inaelekeza kwenye handaki, na lingine ambalo linapaswa kubaki nje, kisha linganisha utafutaji na nakala kwa yote mawili:

ip route get 198.51.100.20 from 192.0.2.44
ip route get 198.51.100.21 from 192.0.2.44
tcpdump -ni any host 198.51.100.21 and port 443

Wakati utafutaji mbili zinarudisha violesura tofauti, kanuni inafanya kitu. Zinaporudisha kiolesura kimoja, kanuni inafanana kwa upana zaidi kuliko ilivyokusudiwa, na hiyo ndiyo hitilafu inayotuma subnet nzima kwa utulivu kupitia handaki lililokusudiwa kwa programu moja.

Andika vipaumbele vya kanuni na huduma inayomiliki kwenye tiketi, pamoja na anwani mbili za majaribio. Kisha mtu anayefuata ana jozi inayoweza kuzalishwa tena badala ya maelezo ya dalili, na anaweza kusema kwa dakika moja kama uelekezaji kwa sera bado unafanya kazi.