Marshrutlash qoidasi paket belgisini o'qiydi, conntrackni emas
Siyosatga asoslangan marshrutlash paket belgisini o'qiydi; conntrack uzoqroq umrga ega boshqa qiymatni saqlaydi. Ularning orasida nusxa ko'chirish kimdir yozishi kerak bo'lgan qadamdir.
To'rtta tekshiruv ishlaydigan belgi qoidasini ishlaydigan marshrutdan ajratadi: qoida qaysi belgini o'qiydi, paket uni qidiruv paytida hali olib yuribdimi, keyingi paketlarga ulanish belgisi tiklanganmi va mos keluvchi qoidaning maskasi va ustuvorligi uning ishga tushishiga imkon beradimi. O'sib borayotgan hisoblagich faqat qandaydir qoida nimagadir mos kelganini isbotlaydi. Yadro o'z yo'lini tanlaganda paket nima olib yurgani haqida hech narsa demaydi.
Ikki belgi turli joylarda yashaydi va turli jadvallar bo'yicha tugaydi.
Ikki belgi, ikki umr
Paket belgisi bitta skbga tegishli, u bilan birga ilgaklardan o'tadi va uni siyosatga asoslangan marshrutlashning fwmark tanlagichi iste'mol qiladi. Ulanish belgisi conntrack yozuviga tegishli, o'sha oqim paketlarida saqlanadi va biror narsa uni orqaga ko'chirmaguncha marshrutlash qoidasi uchun ko'rinmas bo'ladi. Paket belgisini ulanishga saqlash - bu saqlash; uni tiklash alohida harakat. Ikkalasi ham o'z-o'zidan sodir bo'lmaydi.
Shu sababli qoidalar to'plami izchil ko'rinishi mumkin, ammo marshrut qarori nolni ko'radi: qiymat saqlangan va hech narsa uni tiklamagan.
Ularning orasida nusxa ko'chirish siz yozadigan qadamdir
Ikki muhim bayonot qarama-qarshi yo'nalishda ishlaydi: biri paket belgisini ulanishga saqlaydi, ikkinchisi ulanish belgisini paketga yuklaydi. Qaysi biri kerakligi tasniflash oqimga nisbatan qachon sodir bo'lishiga bog'liq. Loyihaga faqat paket belgisi kerak bo'lishi mumkin, va biron vaqtinchalik yechim ikkalasini ishlatgani uchun conntrack belgilashini qo'shish oddiy siyosatning ikkinchi nosozlik rejimini olish yo'lidir.
ct mark set meta mark meta mark set ct mark
Yo'nalishni qoida yoniga yozib qo'ying, chunki sintaksisdan bir qarashda bu ayon emas. Birinchi satr saqlaydi, ikkinchisi tiklaydi va hech biri ikkinchisini nazarda tutmaydi.
Uni iste'mol qiladigan qidiruvdan oldin tasniflang
Lokal ravishda yaratilgan trafik va LANdan yo'naltirilgan trafik turli ilgaklardan o'tadi va marshrut qarorlariga turli paytlarda yetib boradi. Marshrutizatorning o'z ulanishlari uchun ishlaydigan chiqish qoidasi yo'naltirilgan mijoz paketi o'z qidiruvidan oldin belgilanganini isbotlamaydi. Tasniflashni uni iste'mol qiladigan qidiruv hali sodir bo'lmagan joyga qo'ying va xuddi shu zanjirdagi keyingi qoidalar qiymat ustidan yozadimi-yo'qmi tekshiring. Zanjir ichidagi tartib konfiguratsiyaning bir qismi, joriy etish tafsiloti emas.
Ulanish holatining saqlanib qolishi ham aniq rejani talab qiladi. Agar oqimning faqat birinchi paketi tasniflansa, keyingi paketlarga saqlangan belgini tiklash kerak bo'ladi, aks holda ular belgisiz yo'lni tanlaydi. Bu ulanishni tavsiflovchi belgi bilan paketni tavsiflovchi belgi o'rtasidagi farq.
Marshrutga belgili savol bering
ip route get 10.77.0.10 mark 0x2
Qoidalar va jadvalni ko'zdan kechiring, so'ngra marshrutdan belgini qo'shib so'rang, siyosatga ta'sir qilsa manba yoki kiruvchi interfeysni ham qo'shing. Belgisiz oddiy qidiruv boshqa savolga javob beradi va siz istamagan yo'lni mamnuniyat bilan xabar qiladi. Qoidaning qiymati bilan birga maskasi va ustuvorligini ham tekshiring va tanlangan jadvalda foydalanish mumkin bo'lgan marshrut borligiga ishonch hosil qiling.
O'sib borayotgan hisoblagich qandaydir qoida qandaydir paketga mos kelganining dalilidir. Yakuniy paket to'g'ri qaror nuqtasida ko'zda tutilgan belgini olib yurganining dalili emas.
Belgini, yo'nalishni, vaqtni va maskani o'qing. To'rtta tekshiruv, va marshrut sir bo'lishdan to'xtaydi.