VPN istemcisi eklediğiniz rotayı siliyor mu? Bir politika tablosu kullanın

İstemci sahip olduğu rotaları yeniden dayatır, bu yüzden elle eklenen giriş saniyeler içinde kaybolur. İstisnayı, kazanan kural önceliğine sahip bir politika tablosuna koyun.

Bir laboratuvar yazıcısı için bir /24, iki ip route show çağrısı arasında kaybolur ve istemci günlüğü yalnızca ağın değiştiğini söyler. Komutta, önekte veya yetkilerinizde hiçbir sorun yoktu. Ana makinenin yönlendirme modeline sahip olan kurumsal istemci, başka biri onu her düzenlediğinde bu modeli yeniden dayatır, bu yüzden eklediğiniz giriş bir davetsiz misafir olarak kaldırılır. Aynı tabloda onunla savaşmak kaybedilen bir konumdur. Çözüm, o tablo için rekabeti tamamen bırakmak ve istisnayı izleyicinin asla bakmadığı bir yere koymaktır.

İzleyici kaybolan rotayı açıklar

Herhangi bir şeyi yeniden tasarlamadan önce bunu gösterin: tabloyu okuyun, öneki ekleyin, birkaç saniye bekleyin, tekrar okuyun. Giriş yoksa ve onu kaldırmak için hiçbir şey yazmadıysanız, bir ajan izliyor demektir. Bu davranışa sahip süreci bulun ve rota kaybolduğu anın çevresindeki günlüğünü okuyun, çünkü genellikle aynı hizmet tüneli, paket filtrelerini ve çözümleyici yapılandırmasını sürdürür. Rotanız kalsın diye onu öldürmek, bir sonraki yeniden bağlanmada pişman olacağınız bir takastır.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Yukarıdaki önek ve arayüz yer tutucudur. Başka bir makinede çalışan örnekten arayüz adı kopyalamak, bu gösterimin hiçbir şey üretmemesinin en yaygın nedenidir.

İkinci tablo izleyici için görünmez

Ajan yalnızca sahip olduğu tabloyu yeniden oluşturur. İstisnaya kendi tablosunu ve eşleşen hedefleri oraya gönderen bir kuralı verin, ana tablo asla değişmez, böylece ajanın düzeltecek bir şeyi kalmaz. Bütün fikir budur: birinin sürdürdüğü rota ad alanı ve yalnızca sizin dokunduğunuz bir diğeri.

Takas bakımdır. İki nesne birbirinden uzaklaşabilir ve kuralın listedeki konumu, seçtiği tablonun içindeki rota kadar önemlidir.

İstisnayı kurun ve sonra kazanmasını sağlayın

Tabloyu oluşturun, rotayı kurun ve o hedef için tabloyu seçen bir kural ekleyin. Öncelik, kuralınızın istemcinin eklediği kurallardan önce mi sonra mı değerlendirileceğine karar verir ve sonra sıralanan bir kurala asla ulaşılmaz, bu yüzden sayı tasarımın parçasıdır, süs değildir. Ardından çekirdeğe gerçekte ne yapacağını sorun; bu, yapılandırdığınızdan farklı bir sorudur.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get çekirdeğin kullanacağı rotayı, cihaz ve kaynak adres dahil çözer. Tablo tanımlayıcısını yazdırmaz, bu yüzden ip rule show ile eşleştirin, hangi tablonun kazandığını doğrulamanız gerektiğinde. Birlikte tek önemli soruyu yanıtlarlar: o adrese giden trafik amaçladığınız yerden mi çıkıyor?

Aynı fikrin diğer biçimleri

Hedeflerle düşünmeyi bıraktığınız anda desen genelleşir. Tünel varsayılan rotayı tutarken yerel alt ağ erişilebilir kalabilir. LAN'a bağlı bir SSH sunucusunun yanıtları tünelde kaybolmak yerine geldikleri arayüzden çıkabilir. Ve arayüz tabanlı bir kural, kablosuz arayüze gelen her şeyi tünele itebilir; ana makinenin kendisinin ürettiği trafik ise Ethernet'te kalır:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Bu son durum hedefe değil gelen arayüze karşılık gelir; bu başka bir kural türü ve başka bir zihinsel modeldir. İletilen trafik ayrıca net.ipv4.ip_forward etkin olmasını gerektirir ve uzak uç, kaynak aralığını geri yönlendirmeli veya çevirmelidir; tek bir makinedeki kural yolun diğer yarısını asla oluşturmaz.

Kuralı tek kullanımlık olarak görün

Kurallar ve tablo rotaları bellekte yaşar. Yeniden bağlanmadan sonra tünel aygıtı yeniden adlandırılabilir, atanan adres kayabilir ve eski değeri tutan kural sessizce eşleşmeyi bırakır. Tüm değişikliği ona sahip tek bir betikten yeniden uygulayın, ardından istisnaya güvenmeden önce ip rule show çıktısını, geçerli aygıt adını ve yeni bir ip route get sonucunu gerçek bir hedefe karşı yeniden kontrol edin.

Ne kadar özen gösterirseniz gösterin iki sınır kalır. İstemci hâlâ kendi filtre kurallarını ve çözümleyici yapılandırmasını kontrol eder ve yönlendirme istisnası ikisini de geçersiz kılmaz. İstemci politika kuralınızı da silerse, desteklenen yollar kendi bölünmüş tünel politikası veya OpenConnect gibi rotaları yönetmenize izin veren bir istemcidir; satıcının ikili dosyasını izleyicisini susturmak için yamalamak, ekli bir bütünlük denetimi olan bir bakım taahhüdüdür.

Tablo numarasını, önceliği ve hedefi betiğin yanındaki bir nota yazın. Aksi halde bir sonraki kişi tüneli geçersiz kılan bir kural bulur ve nedenini bilmesinin hiçbir yolu olmaz.

İlgili makaleler