ตรวจสอบการกำหนดเส้นทางตามนโยบายของ Linux ก่อนเปลี่ยนเส้นทางเริ่มต้น

โฮสต์ VPN ตอบบนอินเทอร์เฟซหนึ่งและ ปฏิเสธที่จะส่งคำตอบกลับผ่านอุโมงค์ และเส้นทางเริ่มต้นดูถูกต้อง นั่นคือจุดที่ตารางหลักเลิกเป็นเรื่องทั้งหมด Linux สามารถเลือกตารางเส้นทางต่อแพ็กเก็ตได้ด้วยกฎนโยบาย และ VPN อาจติดตั้งไว้หนึ่งตาราง อ่านกฎก่อนแตะเส้นทางเริ่มต้น

ลำดับสำคัญ: กฎก่อน แล้วจึงเป็นตารางที่แต่ละกฎเลือก

อ่านกฎตามลำดับความสำคัญ

รัน ip rule show แล้วอ่านจากบนลงล่าง หมายเลขลำดับความสำคัญควบคุมลำดับการประเมิน และหมายเลขที่ต่ำกว่าจะถูกตรวจก่อน กฎเริ่มต้นที่ 32766 มักเป็นข้อสุดท้ายที่มีความหมาย หากรายการยาว ให้บันทึกเป็นไฟล์ก่อนเปลี่ยนอะไร

สำหรับแต่ละกฎ ให้บันทึกลำดับความสำคัญ การจับคู่ (ต้นทาง เครื่องหมาย อินเทอร์เฟซ หรือปลายทาง) และตารางที่อ้างถึง กฎที่ไม่มีตารางใช้งานได้คือทางตัน ไม่ใช่เส้นทาง

ทำเช่นเดียวกันกับ IPv6 ด้วย ip -6 rule show นโยบายที่มีเฉพาะในตระกูล IPv4 จะปล่อยอีกตระกูลไว้บนตารางหลัก

อ่านตารางที่แต่ละกฎเลือก

ใช้ ip route show table <name or number> กับทุกตารางที่อ้างถึง เปรียบเทียบเส้นทางกับอินเทอร์เฟซและฮอปถัดไปที่คุณคาดไว้ ตารางว่างหรือไม่สมบูรณ์อธิบายความล้มเหลวที่ตารางหลักอธิบายไม่ได้

ตารางหลักอาจยังมีเส้นทางเริ่มต้นอยู่ และนั่นก็โอเค หากกฎส่งโฟลว์ของคุณไปที่ตาราง 51820 ก่อน ค่าเริ่มต้นหลักก็ไม่เกี่ยวข้องกับแพ็กเก็ตนั้น

ค้นหาชื่อตารางใน /etc/iproute2/rt_tables หากไม่คุ้นหมายเลข การค้นหานั้นใช้เวลาหนึ่งวินาทีและป้องกันการอ้อมยาว

ค้นหาว่าใครติดตั้งกฎ

NetworkManager, wg-quick และสคริปต์อื่นสามารถติดตั้งกฎแบบไดนามิก การลบหนึ่งข้อขณะทำงานอาจถูกย้อนกลับในการเชื่อมต่อครั้งถัดไป ตรวจสอบการกำหนดค่าของตัวจัดการก่อนเพิ่มกฎที่แข่งขันกัน

ตัวอย่างเช่น wg-quick เพิ่มกฎที่ทำเครื่องหมายและตารางสำหรับแอดเดรสที่อนุญาตของอุโมงค์ กฎนั้นคือเหตุผลที่ทราฟฟิกไปยังแอดเดรสเหล่านั้นข้ามค่าเริ่มต้นหลัก หากคุณลบมันโดยไม่เปลี่ยนการกำหนดค่า up ครั้งถัดไปจะคืนมัน

รักษาเส้นทางภายนอกของปลายทางและการเข้าถึงเพื่อการจัดการขณะตรวจสอบ อย่าล้างกฎทั้งหมดบนเกตเวย์ระยะไกลที่ใช้งานอยู่เพื่อทำให้เอาต์พุตง่ายขึ้น เซสชันการจัดการที่อยู่รอดผ่านการเปลี่ยนแปลงก็เป็นส่วนหนึ่งของการทดสอบ

ทดสอบบริบทต้นทางที่สำคัญ

คำสั่งทั่วไป ip route get ตอบคำถามที่แตกต่างจากโฟลว์ของแอปพลิเคชัน เพิ่มแอดเดรสต้นทาง และเครื่องหมายหาก VPN ใช้ เพื่อดูเส้นทางที่แพ็กเก็ตจริงใช้ ทดสอบปลายทางที่รวมและที่ยกเว้นด้วยบริบทต้นทางเดียวกัน จากนั้นทำซ้ำกับ IPv6 หากโฮสต์รัน dual stack

หลังการแก้ไขที่ได้รับอนุมัติ ให้รันการค้นหาสองครั้งเดิมอีกครั้งและเปรียบเทียบ บันทึกกฎที่ตั้งใจ ตาราง และระยะเวลาที่กฎอยู่รอดหลังรีสตาร์ท บันทึกนั้นทำให้การรีสตาร์ทบริการครั้งถัดไปอธิบายได้แทนที่จะเป็นเรื่องลึกลับ หน้าคู่มือ ip-rule อธิบายตัวเลือกการจับคู่และไวยากรณ์ของตาราง