VPN manziliga bog‘langan ilova baribir noto‘g‘ri marshrutdan foydalanadi

Ilova VPN manziliga bog‘lanadi, ammo ulanish baribir odatdagi standart marshrut orqali chiqadi. Bog‘lanishda hech narsa muvaffaqiyatsiz bo‘lmadi; u bog‘lanish qiladigan ishni aynan bajardi. Soketni mahalliy manzilga bog‘lash yadro sarlavhaga qo‘yadigan manba manzilini tanlaydi. U marshrut o‘rnatmaydi va shu manbani olib yuruvchi paketlarni ma’lum tunnelga yuboradigan siyosat qoidasini ham yaratmaydi.

Ushbu qo‘llanmaning qolgan qismi men ishlatadigan tekshiruv tartibi va har bir kuzatuvni beradigan buyruqdir.

Bog‘lanish aslida nimani hal qiladi

Bog‘lanish soketga mahalliy manzil beradi. So‘ngra yadro siyosat qoidasi bu qidiruv qaysi jadvalni o‘qishini o‘zgartirmasa, boshqacha qilgan bo‘lardi — xuddi shu marshrut qidiruvini bajaradi.

Shuning uchun paket jismoniy interfeysda VPN manba manzili bilan chiqishi mumkin. Narigi tomonda u tarmoq bu yo‘lda hech qachon kutmagan xususiy diapazondan keladi, qaytish trafigining orqaga qaytish marshruti yo‘q, va ulanish osilib qoladi yoki qayta o‘rnatiladi.

Linux IP soketlari ma’lumotnomasi bog‘lanish semantikasini hujjatlashtiradi. Marshrutlashning yarmi ip-rule va ip-route ichida yashaydi va ular bir sababga ko‘ra alohida qo‘llanmalardir.

Manzil shu nomlar fazosiga tegishli ekanini tasdiqlang

Siz bog‘lanishingiz mumkin bo‘lgan manzil ilova ishlaydigan tarmoq nomlar fazosi ichidagi interfeysda mavjud bo‘lishi kerak. Hamkor manzili, shlyuz manzili yoki faqat boshqa nomlar fazosida mavjud manzilga bog‘lanib bo‘lmaydi va chaqiruv EADDRNOTAVAIL bilan muvaffaqiyatsiz tugaydi.

ip -br addr show
ip netns identify <pid>
ss -tanp | grep <port>

Ularni ilova bilan bir xil kontekstda ishga tushiring: bir xil nomlar fazosi va imkoni bo‘lsa, bir xil foydalanuvchi. Eski net30 sxemasi joriy topologiyangiz mijozga qaysi manzilni berganiga dalil emas. Haqiqatan faol bo‘lgan interfeysni o‘qing.

Shu manba va manzil uchun qidiruvni o‘qing

Bitta buyruq bog‘lanish javob bermagan savolga javob beradi:

ip route get 203.0.113.10 from 10.8.0.2
ip rule show

Birinchi qator shu manbadan shu manzilga boradigan paket qaysi marshrutni o‘tishini, chiqish interfeysi va afzal manba bilan birga chop etadi. Agar u jismoniy interfeysni nomlasa, bog‘lanish va marshrut bir-biriga zid, va paket yo‘l qaytib kela olmaydigan manba bilan chiqadi.

So‘ngra ip rule show biron qoida boshqa jadvalni tanlagan bo‘larmidi, shuni aytadi. Bu yerda ustuvorliklar muhim, chunki birinchi mos qoida yutadi va sizning qoidangizdan yuqorida turgan hamma narsani tutadigan qoida sizning qoidangizni ko‘rinmas qiladi.

Siyosat qoidasini faqat shu dizayn bo‘lsa o‘rnating

Manbaga asoslangan marshrutlash ataylab qilingan dizayn, bitta ilova uchun tuzatish emas. Agar siyosat egasi tunnel quyi tarmog‘idagi trafik tunneldan foydalanishini xohlasa, qoida uning konfiguratsiyasiga tegishli, noutbukingizdagi bir martalik buyruqqa emas.

Ishlaydigan shakl — tunnel orqali standart marshrutga ega alohida jadval, ustiga VPN manba diapazonini shu jadvalga yuboradigan qoida. Dizaynga kerakli istisnolarni qo‘shing, chunki faqat tunnel standartini saqlovchi jadval mahalliy qolishi yoki jismoniy yo‘l orqali yetib borilishi kerak bo‘lgan manzillarni ham ushlab qoladi.

ip route add default dev tun0 table 100
ip rule add from 10.8.0.2 table 100 priority 100
ip route get 203.0.113.10 from 10.8.0.2

ip rule del va ip route flush table 100 bilan qaytaring. Shu yo‘l bilan qo‘shilgan hamma narsa qayta yuklashda yo‘qoladi, agar uni menejer yozmasa; bu bir vaqtda xavfsizlik xususiyati va yagona nusxani shell tarixingizda saqlamaslik sababidir.

Uch kuzatuv bilan tekshiring

Ilova so‘ragan manbani, qidiruv tanlagan marshrutni va server haqiqatan ko‘rgan manbani yozib oling.

Bu uchtasi bir-biriga zid bo‘lishi mumkin va har bir ziddiyat boshqa joyga ishora qiladi. Tunnel interfeysidagi tutish paket to‘g‘ri manba bilan chiqqanini isbotlaydi. Jismoniy interfeysdagi tutish u noto‘g‘ri yo‘ldan chiqqanini isbotlaydi. Yo‘lni boshidan oxirigacha isbotlaydigan narsa faqat server tomonidagi ko‘rinishdir.

Agar ilova qurilmaga bog‘lash variantini yoki har bir ilova uchun marshrutlash rejimini taklif qilsa, uni boshqa cheklovlarga ega boshqa mexanizm deb biling. Ko‘rinishi o‘xshash sozlamalar hammasi ham bir xil yadro qaroriga olib bormaydi.