Boş bir VPN tablosu kendi başına hiçbir şeyi engellemez
Eşleşen rotası olmayan bir politika tablosu paketleri düşürmez; arama devam eder. Bir terminal eylem ekleyin, ardından iki arıza durumunu da test edin.
Bir politika kuralı işaretlenmiş paketleri özel bir tabloya gönderir ve olağan beklenti VPN rotasının kaybının onları engellemesidir. Oysa mekanizma başka bir şey yapar. Tabloda eşleşen bir rota yoksa, arama bir sonraki kurala devam eder durmak yerine, ve main tablosu hâlâ uplink için olağan bir varsayılan rota tutar. Sonuç, fail-closed gibi görünen ama fail-open davranan bir yapılandırmadır.
Hiçbir şey bozuk değil; politika tabanlı yönlendirme böyle tanımlanmıştır.
Tabloda hiçbir şey yoksa arama devam eder
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 lookup default 32766: from all lookup main
Şu kural kümesini alın: işaretli bir arama 42 numaralı tabloya gider ve sonraki bir kural aynı işareti default adlı bir tabloya gönderir. 42 numaralı tablo kullanılabilir bir varsayılan rota tuttuğu sürece ilk arama yolu sağlar. O rota kaybolduğunda ve 42 numaralı tabloda başka hiçbir şey eşleşmediğinde, arama bir düşürmeye dönüşmez; işleme bir sonraki kurala geçer ve o da hiçbir şey bulamazsa main tablosuna ulaşır. Bu dizide hiçbir şey hangi kuralın son yanıtı verdiğini bildirmez, bu yüzden çalışan bir bağlantı çalışan bir politika gibi görünür.
Geleneksel olarak default denen 253 numaralı tablo sıradan bir yönlendirme tablosudur ve genellikle boştur. Adı paketleri düşürme talimatı değildir ve bir tablonun içindeki varsayılan hedef rotasıyla aynı şey değildir.
Terminal eylemler aramayı bitirir
100: from all fwmark 0x36 lookup 42 110: from all fwmark 0x36 prohibit 32766: from all lookup main
Bir terminal kural, boş bir tabloda arama yerine VPN aramasını izleyebilir. Aynı işaretle, 42 numaralı tablo kuralından sonra yerleştirilen prohibit eylemi o tablo hiçbir şey vermediğinde aramayı bitirir ve main tablosuna bir şans daha vermek yerine yönetsel bir ret döndürür. Unreachable ve blackhole de terminaldir ve gönderici için farklı hata davranışına sahiptir.
throw türü rota farklıdır: o tablo içinde hiçbir şey eşleşmemiş gibi davranır, bu yüzden sonraki kurallar yine de sıralarını alır. Bu, throw’u bilinçli geri dönüş için yararlı, son blok olarak ise yanlış yapar.
Gerçek işaret ve arayüzle doğrulayın
ip -4 rule show ip -4 route show table 42 ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36
Diyagram yerine gerçek kuralları ve tabloyu inceleyin, sonra akışı gerçekten sahip olduğu kaynak, işaret ve giriş bağlamıyla sorgulayın. Bir hedefe yönelen, kaynak adresi, arayüz ve işaret verilen salt okunur arama, paket çıkmadan çekirdeğin seçeceği rotayı bildirir. Sorguda işaret vermek güvenlik duvarının gerçek trafiği işaretlediğini kanıtlamaz; bu, işaretleme kurallarının ayrı bir kontrolüdür. Sorgudan sonuç çıkarmadan önce değeri bir sayaç veya günlükle doğrulayın.
Yerelde oluşturulan istekler kendi bağlamlarına ihtiyaç duyar, çünkü işaretleme yolları iletilen trafiğinkinden sık sık farklıdır. Bunları uygulamanın gerçekten kullanacağı çıkış arayüzüyle kontrol edin.
İki arıza durumu, bir değil
Bir arıza durumu VPN rotasının kaybolması ve trafiğin uplink’e düşmesidir. Rotası kurulu kalan ölü bir tünel başka bir durumdur: paketler düşmek yerine kullanılamaz bir yola yönlendirilmeye devam eder ve belirti görünür doğrudan bağlantı değil sessiz kayıptır. İkisini de test edin, ayrıca başlatma, yeniden bağlanma ve hizmet durdurma davranışını da test edin.
Böyle bir kural yalnızca var olduğu ve paketler onu seçen işareti taşıdığı sürece yardımcı olur. Kuralı silen bir kapatma betiği veya işareti kaldıran bir yol açık davranışı geri getirir. Bu geçişleri prova etmeye değer.
Politikayı IPv6’ya ayrı olarak uygulayın ve onaylanmış uç nokta istisnalarını örtük değil açık tutun.