Linux'ta VPN'in ittiği rotaları statik olanlardan nasıl ayırt edersiniz

Tünel kalktığında dizüstü bilgisayarda bir önek görünür, bu yüzden onu VPN kurmuş gibi hissettirir. Kurmuş olabilir, ama aynı sonuç bağlanırken çalışan bir istemci betiğinden, alt ağı listeleyen bir bağlantı profilinden ya da baştan beri var olan ve yalnızca arayüz ortaya çıktığında çalışmaya başlayan statik bir rotadan da gelebilir. Yanlış sahibi seçmek, rotanın her temizlikten sonra geri dönmesi ve bir sonraki kişinin aynı düzeltmeyi tekrarlaması demektir. Aşağıdaki sıra, herhangi bir şey değiştirilmeden önce bu üçünü ayırır.

Adım 1: önekleri kuran mekanizmayı adlandırın

Farklı protokoller erişilebilirliği farklı şekillerde sağlar ve bunların hepsine duyuru demek ayrımı gizler. Bir OpenVPN sunucusu denetim kanalı üzerinden bir rota yönergesi iter ve istemci, pull filtresi engellemedikçe onu kurar. Bir WireGuard yapılandırması izin verilen önekleri yerel olarak listeler; istemci bunları hem şifreleme anahtarı yönlendirmesi hem de eklediği rotalar için kullanır. Bir IPsec tüneli eşle trafik seçicileri üzerinde anlaşır ve çekirdek bu seçicilerden rotalar kurar.

Herhangi bir tabloyu okumadan önce tünelinizin bunlardan hangisini kullandığını belirleyin. Bağlantı sırasında itilen bir rota, bir yönlendirme protokolünün duyurusu değildir ve önekin uzak ucun arkasında erişilebilir olduğuna söz vermez. Düzeltmenin nereye ait olduğunu o belirlediği için mekanizmayı önekin yanına not edin.

Adım 2: tabloyu bir bağlantı boyunca karşılaştırın

Ana tabloyu tünel kapalıyken kaydedin, tüneli kaldırın, yeniden kaydedin ve iki kaydı karşılaştırın. Görünen her şey bağlantının yaşam döngüsüne aittir, kalan her şey ise yerel yapılandırmaya aittir.

Onu ip route show table main > /tmp/route-down.txt ile kaydedin, bağlanın ve yeniden kaydedin. Site IPv6 kullanıyorsa ip -6 route için de aynısını yapın, çünkü orada eksik bir önek yönlendirmeyle ilgisiz görünen arızalara yol açar.

Adım 3: yalnızca varlığı değil, metriği okuyun

Aynı önek için iki girdi bir arada bulunabilir ve çekirdek düşük metriği seçer. Metriği 50 olan statik bir rota, ikisi de görünür olsa da 100'deki itilen rotayı yenmeye devam eder, bu yüzden 'rota orada' ve 'trafik onu kullanıyor' farklı ifadelerdir.

Çekirdeğe doğrudan ip route get 10.20.5.7 ile sorun ve bildirdiği arayüzü okuyun. Tabloda bir tünel rotası dururken trafik fiziksel adaptörden çıkıyorsa bunu VPN istemcisi değil, metrik veya önek uzunluğu açıklar. Tünelin arkasında olduğunu bildiğiniz bir ana bilgisayar ve olmadığını bildiğiniz bir başkası için aramayı yineleyin; fark, bölünmenin amaçlandığı gibi davranıp davranmadığını gösterir.

Adım 4: tünelden daha uzun yaşayan girdileri bulun

Statik rotalar tasarım gereği bağlantı kopmasından sağ çıkar ve bayat girdiler tam da oradan gelir. Artık var olmayan bir arayüze işaret eden kalıcı bir rota bir alt ağı sessizce yutabilir; yeniden kullanılan bir arayüz adına işaret eden bir rota ise yeniden başlatmadan sonra özel trafiği yanlış kapıdan çıkarabilir.

Kalıcı tarafı dağıtımınızın kullandığı yerde denetleyin; ister systemd-networkd birimi, ister NetworkManager profili, ister istemcinin up dizinindeki bir betik olsun. Canlı tabloyu ip route del ile düzeltmek yalnızca bir sonraki bağlantıya kadar dayanır. Bu silmeyi onarım değil, varsayımın testi olarak görün.

Uzak uç yanlış kapsama sağlıyorsa her şeyi filtrelemek yerine konuyu işletmeciye taşıyın. İtilen tüm ayarları bırakmak, profilin bağlı olduğu DNS'i ve bölünmüş tünel politikasını da bırakır.

Adım 5: istemciyi suçlamadan önce dönüş yolunu doğrulayın

Siteden siteye bağlantı veya tünelin arkasındaki bir alt ağ için uzak tarafın istemci adresinize dönüş rotasına ve ağ geçidinde yönlendirmenin açık olmasına ihtiyacı vardır. Tek yönlü bir yol tam olarak istemci yönlendirme hatası gibi görünür, yalnızca el sıkışma ve giden paket ikisi de başarılı olur.

Ters yol filtrelemesi Linux ağ geçitlerine ikinci bir tuzak ekler. Rotanın öngördüğünden farklı bir arayüze gelen yanıt katı kipte düşürülür ve iki sağlayıcı üzerinden asimetrik yollar bunu güvenilir biçimde tetikler. Filtrelemenin neden olup olmadığını istemcide değil, ağ geçidindeki düşürme sayaçları söyler.

Adım 6: ping'i değil, kaynağı test edin

Seçilen rota doğru olduğunda gerçek kaynağı açın ve dönüş trafiğini doğrulayın. Ping yanıtı yolu tek yönde kanıtlar ve hizmet hakkında hiçbir şey söylemez; önbelleğe alınmış bir bağlantıda yanıt veren hizmet ise daha da azını kanıtlar.

Ardından yeniden bağlandıktan sonra tüm denetimi yineleyin. Sıranın değeri, bir sonraki bağlantının ne yapacağını öngörmesidir; bu yüzden hem karşılaştırma hem de metrik kayda aittir.