Ang walang laman na talahanayan ng VPN ay hindi humaharang sa anuman nang mag-isa

Ang isang tuntunin ng patakaran ay nagpapadala ng mga markang packet sa isang nakalaang talahanayan, at ang karaniwang inaasahan ay hinaharangan sila ng pagkawala ng ruta ng VPN. Iba ang ginagawa ng mekanismo. Kapag ang talahanayan ay walang tugmang ruta, nagpapatuloy ang paghahanap sa susunod na tuntunin sa halip na huminto, at ang talahanayan ng main ay mayroon pa ring ordinaryong default na ruta para sa uplink. Ang resulta ay isang configuration na mukhang fail-closed ngunit kumikilos na fail-open.

Walang sira; ganoon ang pagtutukoy ng policy routing.

Nagpapatuloy ang paghahanap kapag walang laman ang talahanayan

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Kunin ang set ng tuntuning iyon: ang markang paghahanap ay pumupunta sa talahanayan 42, at ang susunod na tuntunin ay nagpapadala ng parehong marka sa isang talahanayang tinatawag na default. Habang may magagamit na default na ruta ang talahanayan 42, ibinibigay ng unang paghahanap ang landas. Kapag nawala ang rutang iyon at walang ibang tugma sa talahanayan 42, hindi nagiging pagtatapon ang paghahanap; lumilipat ang pagproseso sa susunod na tuntunin, at kapag wala rin itong mahanap, naaabot nito ang talahanayan ng main. Walang anuman sa pagkakasunod-sunod na iyon ang nag-uulat kung aling tuntunin ang nagbigay ng huling sagot, kaya ang gumaganang koneksyon ay mukhang gumaganang patakaran.

Ang talahanayan 253, na karaniwang tinatawag na default, ay isang ordinaryong talahanayan ng routing at karaniwang walang laman. Ang pangalan nito ay hindi utos na itapon ang mga packet, at hindi ito kapareho ng isang default na rutang patutunguhan sa loob ng talahanayan.

Tinatapos ng mga terminal na aksyon ang paghahanap

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Ang isang terminal na tuntunin ay maaaring sumunod sa paghahanap ng VPN sa halip na paghahanap sa walang laman na talahanayan. Sa parehong marka, ang aksyong prohibit na inilagay pagkatapos ng tuntunin ng talahanayan 42 ay tinatapos ang paghahanap kapag walang ibinigay ang talahanayang iyon, at nagbabalik ng administratibong pagtanggi sa halip na bigyan ang talahanayan ng main ng isa pang pagkakataon. Ang unreachable at blackhole ay terminal din, na may ibang pag-uugali sa error para sa nagpadala.

Ang rutang uri throw ay iba: sa loob ng talahanayang iyon kumikilos ito na parang walang tumugma, kaya nakakakuha pa rin ng kanilang pagkakataon ang mga susunod na tuntunin. Ginagawa nitong kapaki-pakinabang ang throw para sa sinadyang pag-urong at mali bilang huling harang.

I-verify gamit ang tunay na marka at interface

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Suriin ang tunay na mga tuntunin at talahanayan sa halip na diagram, pagkatapos ay tanungin ang daloy gamit ang konteksto ng pinagmulan, marka at pasukan na talagang mayroon ito. Ang paghahanap na read-only na nakaturo sa isang patutunguhan, na binigyan ng address ng pinagmulan, interface at marka, ay nag-uulat ng rutang pipiliin ng kernel nang walang packet na lumalabas. Ang pagbibigay ng marka sa query ay hindi nagpapatunay na minamarkahan ng firewall ang tunay na trapiko; iyon ay hiwalay na pagsusuri ng mga tuntunin sa pagmamarka. Kumpirmahin ang halaga gamit ang counter o log bago gumawa ng mga konklusyon mula sa query.

Ang mga kahilingang nalilikha nang lokal ay nangangailangan ng sariling konteksto, dahil ang landas ng pagmamarka nito ay madalas na naiiba sa trapikong ipinapasa. Suriin ang mga ito gamit ang output interface na talagang gagamitin ng aplikasyon.

Dalawang kalagayan ng pagkabigo, hindi isa

Ang isang kalagayan ng pagkabigo ay ang pagkawala ng ruta ng VPN at ang pagbagsak ng trapiko sa uplink. Ang patay na tunnel na nananatiling naka-install ang ruta ay isa pa: nananatiling nakadirekta ang mga packet sa isang landas na hindi magagamit sa halip na bumagsak, at ang sintomas ay tahimik na pagkawala sa halip na nakikitang direktang koneksyon. Subukan ang pareho, at subukan din ang pag-uugali sa pagsisimula, muling pagkonekta at paghinto ng serbisyo.

Ang gayong tuntunin ay tumutulong lamang habang ito ay umiiral at habang dinadala pa ng mga packet ang markang pumipili dito. Ang isang shutdown script na nagtatanggal ng tuntunin, o isang landas na nag-aalis ng marka, ay nagbabalik ng bukas na pag-uugali. Sulit sanayin ang mga pagbabagong iyon.

Ilapat ang patakaran sa IPv6 nang hiwalay, at panatilihing hayag ang mga aprubadong eksepsyon sa endpoint sa halip na implied.