VPN-маршрут за замовчуванням у таблиці 200 приховує ваш маршрут LAN

Чотири перевірки відокремлюють несправність таблиці політик від несправності маршрутизації: яке правило збіглося, яку таблицю назвало це правило, що містить ця таблиця і який маршрут у ній переміг. До основної таблиці більше не звертаються, щойно попередня таблиця видала маршрут, тому запис LAN, видимий там, може бути несуттєвим для пакета, який ви тестуєте. Виконуйте перевірки по порядку, і відсутній маршрут виявиться на третьому кроці, а не на четвертому.

Зіставлення за найдовшим префіксом відбувається всередині однієї таблиці; воно не порівнює маршрути всіх таблиць як єдиний список.

Пошук закінчується на першій таблиці, яка відповідає

Візьміть політику, у якій трафік із підмережі спершу заглядає до таблиці 200, таблиця 200 містить маршрут за замовчуванням через тунель, а основна таблиця містить префікс LAN. Пакет до адреси LAN може збігтися з цим маршрутом за замовчуванням у таблиці 200 і там зупинитися. Оскільки пошук видав маршрут, пізніше правило основної таблиці вже не отримує можливості запропонувати свій точніший запис. Результат — пакет, що входить у тунель, тоді як цілком добрий маршрут LAN залишається невикористаним.

Попередні правила й власний пошук машиною локальних адрес усе ще діють, тож тест має використовувати джерело, позначку та інтерфейс, які несе реальний потік. Запитайте з чимось іншим, і LAN може бути вибрано правильно, що приховує саме ту несправність, яку ви шукаєте.

Розмістіть виняток для LAN там, де йому місце

Вибрана таблиця може нести потрібні їй маршрути LAN, під’єднані маршрути та маршрут до кінцевої точки, що залишає політику самодостатньою. Інша схема використовує явне попереднє правило для префікса LAN або навмисний відкидний маршрут, що передає префікс пізнішому пошуку. Кожен із них — законний шаблон з іншим власником. Вибирайте за передбаченою політикою та за тим, хто обслуговує маршрути, а не за тим, що коротше набирати.

Яким би не був шаблон, виняток має бути видимим там, де визначено політику. Маршрут, доданий вручну і не зафіксований, зникне під час наступного перезавантаження і забере діагностику з собою.

Не копіюйте основну таблицю повністю

Копіювання кожного маршруту з основної таблиці до таблиці політик виглядає як виправлення, але створює знімок. Адміністратор може динамічно додавати або вилучати адреси та інтерфейси, і копія старіє непомітно. Тримайте життєвий цикл маршрутів у власника конфігурації та відтворюйте таблицю з конфігурації, а не з одного моменту часу.

Скопійована таблиця також зводить нанівець мету, бо відтворює резервну поведінку, яку політика мала обмежити.

Перевіряйте відповіді окремо від маршрутів

Навіть після того як пошук вибрав потрібний шлях, відповіді можуть не проходити з причин, не пов’язаних із таблицею. Трансляція може застосовуватися на неправильному інтерфейсі, перевірка зворотного шляху може відхилити пакет, що прийшов неочікуваним шляхом, або кінцева точка просто не відповість. Це різні несправності з різними доказами, і жодну з них не виправляє редагування записів маршрутів.

Збережіть результат пошуку для саме цього потоку з обох боків зміни, щоб виправлення залишалося видимим. Глобальне вимкнення перевірок зворотного шляху або очищення правил не дає відсутнього маршруту й послаблює не пов’язані з ним засоби контролю.

Запишіть правило, таблицю, переможний маршрут і шлях відповіді. Цей запис відділяє помилку політики від зламаної служби.