Jedwali la uelekezaji dhidi ya utafutaji halisi: trafiki ya VPN inakwenda wapi

Dampo la jedwali la uelekezaji ni utambuzi usio na faida zaidi katika utatuzi wa matatizo ya VPN na ndilo linalobandikwa mara nyingi. Mistari arobaini ya viambishi awali hukuambia kile ambacho mashine ingeweza kufanya, si kile ilichofanya kwa ombi lililoshindwa. Utaratibu unaoutaka kwa kweli ni utafutaji: ukipewa chanzo hiki na lengwa hili, ni kanuni ipi iliyolingana, ni jedwali gani lilishauriwa, na ni kiolesura kipi na hatua inayofuata vilivyotoka. Anza na lengwa moja na chanzo kimoja, kisha soma jedwali ukiwa na swali hilo mkononi, na matokeo hayo hayo yanakuwa ushahidi badala ya kelele.

Jedwali ni mkusanyiko wa wagombea, si uamuzi

Kila ingizo hufafanua kiambishi awali na nini cha kufanya na trafiki inayolingana nacho: itume kwenye kiolesura, ikabidhi kwa hatua inayofuata, au itupa. Hakuna chochote katika orodha hiyo kilichopangwa kwa nia, na ingizo linaloonekana mahususi zaidi kwa mwanadamu si lazima liwe lile ambalo kerneli huchagua, kwa sababu uchaguzi hufuata ulinganifu mrefu zaidi wa kiambishi awali na, kati ya viambishi awali sawa, kipimo.

Kwa hiyo hatua ya kwanza ni kumuuliza kerneli badala ya kusoma orodha. Amri ya utafutaji hujibu kwa lengwa, na kwa hoja ya chanzo hujibu kwa jozi kamili ambayo muunganisho uliopelekwa au uliofungwa ungetumia:

ip route get 198.51.100.10
ip route get 198.51.100.10 from 10.80.0.25
ip -6 route get 2001:db8:10::40

Kila anwani iliyo juu ni mfano wa nyaraka. Jambo ni umbo la jibu: kiolesura, anwani ya chanzo iliyochaguliwa, lango na jedwali ambalo ingizo lilitoka. Ikiwa matokeo hayo hayalingani na kiolesura ulichokitarajia, umetambua tatizo kwa amri moja, na hakuna kiasi cha kusoma jedwali kamili kingekuambia mgombea gani alishinda.

Utafutaji hupitia kanuni, kisha majedwali

Kwenye Linux uamuzi ni wa hatua mbili. Kanuni za sera hutathminiwa kwa mpangilio wa kipaumbele, na kanuni ya kwanza inayolingana hutaja jedwali la kushauriwa; jedwali hilo hufanya ulinganifu mrefu zaidi wa kiambishi awali. Kanuni inaweza kulingana na chanzo, lengwa, alama ya kinga ya moto, kiolesura au mchanganyiko, ndiyo sababu dampo la jedwali kuu linaweza kuwa sahihi kabisa na lisilo na umuhimu wowote kwa pakiti unayochunguza.

ip rule show
ip route show table all | head -40
ip route show table 100

Ikiwa kanuni inatuma trafiki kutoka dimbwi lako la VPN kwenda jedwali 100, basi jedwali 100 ndilo lenye umuhimu, na jedwali kuu ni chambo. Hii pia ni njia ya uelekezaji unaotegemea chanzo kwenye kipanga njia: lengwa lile lile linaweza kuwa na majibu mawili tofauti kulingana na pakiti ilikotoka, na utafutaji wenye hoja ya chanzo pekee ndio unaobainisha lipi linatumika.

IPv6 ina kanuni na majedwali yake. Muundo unaoendesha familia zote mbili unahitaji utafutaji wote wawili, na jibu la IPv4 linalofanya kazi halisemi chochote kuhusu njia ya v6 ambayo mteja wa rafu mbili anaweza kuipendelea.

Kile ambacho mteja wa VPN husakinisha

Wateja kwa kawaida hawachukui nafasi ya njia chaguo-msingi, kwa sababu hilo lingevunja njia ya nje ya handaki yenyewe. Wanasakinisha kitu mahususi zaidi kinachoshinda kwa urefu wa kiambishi awali: jozi ya nusu-chaguo-msingi inayofunika 0.0.0.0/1 na 128.0.0.0/1 ni hila ya kawaida, kwa kuwa zote mbili ni viambishi awali virefu zaidi kuliko 0.0.0.0/0 na kwa pamoja hufunika nafasi yote. Wengine husakinisha viambishi awali maalum vya kibinafsi pamoja na kanuni ya sera, na wengine huongeza alama ili trafiki iliyochaguliwa pekee inaswe.

Ndiyo sababu "VPN haikubadilisha njia yangu chaguo-msingi" si ushahidi wa kushindwa. Angalia kile ilichoongeza kwa kweli, na ikiwa lengwa husika liko ndani ya viambishi awali hivyo:

ip route show | grep -E 'tun|wg|ppp|ipsec'
ip route get 10.20.30.40 from 10.80.0.25

Nusu-njia mbili ni rahisi kukosa katika dampo kwa sababu hazionekani kama chaguo-msingi. Mpangilio wa split-tunnel uliosahau kujumuisha kiambishi awali huzalisha dalili hasa unayofuatilia: programu inayopaswa kutumia handaki badala yake hutatua na kuunganisha ndani. Linganisha viambishi awali vilivyosakinishwa na lengwa ambazo mtumiaji anazihitaji kwa kweli, si anwani ulizojaribu kwa bahati. Orodha ya split-tunnel inayofunika seva ya faili lakini si kitatuzi chake huzalisha muunganisho unaotatuliwa kwenda anwani ya umma na kisha kushindwa uthibitishaji, ambayo inaonekana kama tatizo la nenosiri na ni tatizo la njia.

Njia ya nje lazima pia iendelee kuwa hai

Handaki yenyewe ni trafiki. Pakiti zinazobeba mzigo uliofungwa huenda kwa anwani ya mwenzake kupitia kiolesura halisi, na njia hiyo haipaswi kuelekezwa tena ndani ya handaki. Inapotokea, unapata hitilafu ya kipekee ambapo handaki huanzishwa kisha huacha kupitisha trafiki, kwa sababu usafirishaji wa handaki sasa uko ndani ya handaki.

Angalia anwani ya mwenzake kama ulivyoangalia lengwa la ndani, na uthibitisha kuwa inatatuliwa kwenda kiolesura halisi na si handaki:

ip route get 203.0.113.10
traceroute -n -m 5 203.0.113.10

Njia ya kurudia, kanuni ya sera inayomkamata mwenzake, au chaguo-msingi lililobadilishwa na mteja wa handaki kamili ni sababu tatu za kawaida. Zote tatu zinaonekana katika utafutaji wa nje, na hakuna hata moja inaonekana katika dampo la jedwali kuu lililochukuliwa baada ya tukio.

Kile ambacho matokeo ya uelekezaji hayawezi kukuambia

Utafutaji sahihi unamaanisha kwamba kerneli ingetuma pakiti mahali panapofaa. Haimaanishi kwamba kinga ya moto inairuhusu, sera ya IPsec inaifunika, kanuni ya NAT inaitafsiri, au upande wa mbali una njia ya kurudi. Kila moja ya haya ni hatua ya baadaye, na maelezo ya strongSwan kuhusu upelekaji yanafafanua mnyororo ambao pakiti lazima ipitie katika pande zote mbili.

Pia haizingatii ufungaji wa ngazi ya programu. Mchakato unaweza kujifunga kwenye kiolesura, kuweka alama, au kutumia kitatuzi chake mwenyewe na kuunganisha kwa jina linalotatuliwa tofauti na ulilojaribu. Wakati utafutaji ni sahihi na muunganisho bado unashindwa, swali linalofuata ni mchakato upi unaaufanya na ikiwa mchakato huo unaona jedwali lile lile unaloliona.

Kwa hiyo weka utambuzi katika mpangilio: taja lengwa na chanzo, endesha utafutaji, soma jedwali na kanuni zilizotajwa na utafutaji pekee, kisha jaribu hatua inayofuata. Mpangilio huo huweka uchunguzi wa uelekezaji ndani ya dakika na huacha rekodi ambayo mtu mwingine anaweza kufuata, jambo ambalo jedwali lililobandikwa hufanya kamwe.