Binubura ng VPN client ang idinagdag mong ruta? Gumamit ng talahanayan ng patakaran

Isang /24 para sa lab printer ang nawawala sa pagitan ng dalawang tawag sa ip route show, at sinasabi lang ng log ng client na nagbago ang network. Walang mali sa utos, prefix, o iyong mga pribilehiyo. Ang corporate client na nagmamay-ari ng routing model ng host ay muling iginiit ang modelong iyon sa tuwing may ibang nag-e-edit nito, kaya ang entry na idinagdag mo ay tinatanggal bilang intruder. Ang labanan ito sa parehong talahanayan ay isang talo na posisyon. Ang solusyon ay tuluyang itigil ang pakikipagkumpitensya para sa talahanayang iyon at ilagay ang pagbubukod sa lugar na hindi tinitingnan ng monitor.

Ipinaliwanag ng monitor ang nawawalang ruta

Ipakita ito bago mag-redesign ng anuman: basahin ang talahanayan, idagdag ang prefix, maghintay ng ilang segundo, basahin muli. Kung wala ang entry at wala kang itina-type para alisin ito, may agent na nagmamasid. Hanapin ang prosesong nagmamay-ari ng gawi na iyon at basahin ang journal nito sa paligid ng sandaling nawala ang ruta, dahil kadalasan ang parehong serbisyo ang nagpapanatili ng tunnel, mga filter ng packet, at configuration ng resolver. Ang patayin ito para manatili ang ruta mo ay isang palitan na pagsisisihan mo sa susunod na muling pagkonekta.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Ang prefix at interface sa itaas ay mga placeholder. Ang pagkopya ng pangalan ng interface mula sa gumaganang halimbawa sa ibang makina ang pinakakaraniwang dahilan kung bakit wala talagang naibibigay ang demonstrasyong ito.

Hindi nakikita ng monitor ang pangalawang talahanayan

Ginagawa lamang muli ng agent ang talahanayang pag-aari nito. Bigyan ang pagbubukod ng sarili nitong talahanayan at patakarang nagpapadala ng mga tugmang destinasyon doon, at hindi kailanman nagbabago ang pangunahing talahanayan, kaya wala nang aayusin ang agent. Iyon ang buong ideya: isang namespace ng mga ruta na pinapanatili ng iba, at isa na ikaw lang ang humahawak.

Ang palitan ay maintenance. Maaaring maghiwalay ang dalawang bagay, at ang posisyon ng patakaran sa listahan ay kasinghalaga ng ruta sa loob ng talahanayang pinipili nito.

Buuin ang pagbubukod at pagkatapos ay pagwagihin ito

Gumawa ng talahanayan, i-install ang ruta, at magdagdag ng patakarang pumipili ng talahanayan para sa destinasyong iyon. Itinatakda ng priyoridad kung ang patakaran mo ay titingnan bago o pagkatapos ng mga inilagay ng client, at ang patakarang naisalansan nang huli ay hindi kailanman naaabot, kaya ang numero ay bahagi ng disenyo at hindi palamuti. Pagkatapos tanungin ang kernel kung ano talaga ang gagawin nito, na ibang tanong sa kung ano ang kinonfigura mo.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get nilulutas ang rutang gagamitin ng kernel, kasama ang device at source address. Hindi nito ipiniprint ang identifier ng talahanayan, kaya ipares ito sa ip rule show kapag kailangan mong kumpirmahin kung aling talahanayan ang nanalo. Sama-sama nilang sinasagot ang tanging mahalagang tanong: lumalabas ba ang trapiko patungo sa address na iyon sa lugar na sinadya mo?

Iba pang anyo ng parehong ideya

Nagiging pangkalahatan ang pattern kapag tumigil ka sa pag-iisip sa mga destinasyon. Ang lokal na subnet ay maaaring manatiling maabot habang pinapanatili ng tunnel ang default na ruta. Ang mga tugon mula sa SSH server na konektado sa LAN ay maaaring lumabas sa interface kung saan sila dumating sa halip na mawala sa tunnel. At ang patakarang nakabatay sa interface ay maaaring itulak sa tunnel ang lahat ng dumarating sa wireless interface habang ang trapikong nililikha mismo ng host ay nananatili sa Ethernet:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Ang huling kaso ay tumutugma sa papasok na interface kaysa sa destinasyon, na ibang uri ng patakaran at ibang mental na modelo. Ang ipinasa na trapiko ay nangangailangan din ng naka-enable na net.ipv4.ip_forward, at dapat i-route pabalik ng malayong dulo ang hanay ng pinagmulan o isalin ito; ang patakaran sa isang makina ay hindi kailanman lumilikha ng kabilang kalahati ng landas.

Ituring ang patakaran na disposable

Nabubuhay sa memorya ang mga patakaran at ruta ng talahanayan. Pagkatapos ng muling pagkonekta, maaaring mapalitan ng pangalan ang tunnel device, maaaring gumalaw ang itinalagang address, at ang patakarang may lumang halaga ay tahimik na humihinto sa pagtutugma. Ilapat muli ang buong pagbabago mula sa isang script na nagmamay-ari nito, pagkatapos ay suriing muli ang ip rule show, kasalukuyang pangalan ng device, at sariwang ip route get laban sa isang tunay na destinasyon bago magtiwala sa pagbubukod.

Dalawang hangganan ang nananatili anuman ang pag-iingat. Kinokontrol pa rin ng client ang sarili nitong mga patakaran sa pag-filter at configuration ng resolver, at hindi pinapalitan ng routing exception ang alinman sa dalawa. Kung binura rin ng client ang patakaran mo sa policy, ang mga sinusuportahang landas ay ang sarili nitong split-tunnel policy o isang client na nagpapahintulot sa iyong pamahalaan ang mga ruta, tulad ng OpenConnect; ang pag-patch ng vendor binary para patahimikin ang monitor nito ay isang pangako sa maintenance na may kalakip na integrity check.

Isulat ang numero ng talahanayan, priyoridad, at destinasyon sa tala sa tabi ng script. Kung hindi, makakahanap ang susunod na tao ng patakarang lumalampas sa tunnel at walang paraan upang malaman kung bakit.