Jedwali tupu la VPN haliwezi kuzuia chochote peke yake

Kanuni ya sera hutuma pakiti zilizowekwa alama kwenye jedwali maalum, na matarajio ya kawaida ni kwamba kupoteza njia ya VPN huzizuia. Lakini utaratibu hufanya kitu kingine. Jedwali lisipokuwa na njia inayolingana, utafutaji unaendelea hadi kanuni inayofuata badala ya kusimama, na jedwali main bado lina njia ya kawaida ya chaguo-msingi kwa uplink. Matokeo ni usanidi unaoonekana kama fail-closed lakini unaofanya kazi kama fail-open.

Hakuna kitu kilichovunjika; ndivyo uelekezaji wa msingi wa sera unavyobainishwa.

Utafutaji unaendelea wakati jedwali halina kitu

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Chukua seti hiyo ya kanuni: utafutaji uliowekwa alama unaenda kwenye jedwali 42, na kanuni ya baadaye hutuma alama hiyo hiyo kwenye jedwali linaloitwa default. Maadamu jedwali 42 lina njia ya chaguo-msingi inayoweza kutumika, utafutaji wa kwanza hutoa njia. Njia hiyo inapotoweka na hakuna kitu kingine katika jedwali 42 kinacholingana, utafutaji haubadiliki kuwa utupaji; uchakataji unaendelea hadi kanuni inayofuata, na hiyo isipopata kitu pia, hufikia jedwali main. Hakuna kitu katika mfuatano huo kinachoripoti ni kanuni gani iliyotoa jibu la mwisho, kwa hivyo muunganisho unaofanya kazi huonekana kama sera inayofanya kazi.

Jedwali 253, ambalo kwa kawaida huitwa default, ni jedwali la kawaida la uelekezaji na kwa kawaida huwa tupu. Jina lake si amri ya kutupa pakiti, na si kitu kimoja na njia ya chaguo-msingi ya lengwa ndani ya jedwali.

Vitendo vya mwisho humaliza utafutaji

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Kanuni ya mwisho inaweza kufuata utafutaji wa VPN badala ya utafutaji kwenye jedwali tupu. Kwa alama hiyo hiyo, kitendo cha prohibit kilichowekwa baada ya kanuni ya jedwali 42 humaliza utafutaji wakati jedwali hilo halitoi kitu, na hurudisha katazo la kiutawala badala ya kuipa jedwali main nafasi nyingine. Unreachable na blackhole pia ni vya mwisho, na tabia tofauti ya hitilafu kwa mtumaji.

Njia ya aina ya throw ni tofauti: ndani ya jedwali hilo hufanya kama hakuna kitu kilicholingana, kwa hivyo kanuni za baadaye bado hupata zamu yao. Hiyo hufanya throw kuwa muhimu kwa kurudi nyuma kwa makusudi na si sahihi kama kizuizi cha mwisho.

Thibitisha kwa alama na kiolesura halisi

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Chunguza kanuni na jedwali halisi badala ya mchoro, kisha uliza mtiririko ukiwa na muktadha wa chanzo, alama na kiingilio ambao kwa kweli unayo. Utafutaji wa kusoma tu unaoelekezwa kwenye lengwa, ambao umepewa anwani ya chanzo, kiolesura na alama, huripoti njia ambayo kiini kingechagua bila pakiti kutoka. Kutoa alama katika swali hakuthibitishi kwamba firewall inaweka alama kwenye trafiki halisi; hiyo ni ukaguzi tofauti wa kanuni za kuweka alama. Thibitisha thamani kwa kihesabu au kumbukumbu kabla ya kufikia hitimisho kutokana na swali.

Maombi yanayotengenezwa ndani yanahitaji muktadha wake wenyewe, kwa sababu njia yao ya kuweka alama mara nyingi hutofautiana na ile ya trafiki inayopitishwa. Yakague kwa kiolesura cha matokeo ambacho programu kingetumia kwa kweli.

Hali mbili za kushindwa, si moja

Hali moja ya kushindwa ni kutoweka kwa njia ya VPN na trafiki kuanguka hadi uplink. Handaki lililokufa ambalo njia yake inabaki imesakinishwa ni hali nyingine: pakiti zinaendelea kuelekezwa kwenye njia isiyoweza kutumika badala ya kuanguka, na dalili ni upotevu wa kimya badala ya muunganisho wa moja kwa moja unaoonekana. Jaribu zote mbili, na pia tabia wakati wa kuanza, kuunganisha tena na kusimamisha huduma.

Kanuni kama hiyo husaidia tu maadamu ipo na maadamu pakiti bado zina alama inayoiweka. Skripti ya kuzima inayofuta kanuni, au njia inayoondoa alama, hurudisha tabia iliyo wazi. Mabadiliko hayo yanafaa kufanywa mazoezi.

Tumia sera kwenye IPv6 kando, na uweke tofauti za mwisho zilizoidhinishwa wazi badala ya kudokezwa.