VPN mijozi qo'shgan marshrutingizni o'chiradimi? Siyosat jadvalidan foydalaning

Laboratoriya printeri uchun bitta /24 ikkita ip route show chaqiruvi orasida yo'qoladi va mijoz jurnali faqat tarmoq o'zgarganini aytadi. Buyruq, prefiks yoki huquqlaringizda hech qanday xato yo'q edi. Xostning marshrutlash modeliga ega korporativ mijoz, kimdir boshqa uni tahrirlaganda o'sha modelni qayta o'rnatadi, shuning uchun siz qo'shgan yozuv bosqinchi sifatida olib tashlanadi. Xuddi shu jadvalda u bilan kurashish yutqazilgan pozitsiya. Yechim — o'sha jadval uchun raqobatni butunlay to'xtatish va istisnoni kuzatuvchi hech qachon qaramaydigan joyga qo'yish.

Kuzatuvchi yo'qolgan marshrutni tushuntiradi

Biror narsani qayta loyihalashdan oldin buni ko'rsating: jadvalni o'qing, prefiksni qo'shing, bir necha soniya kuting, yana o'qing. Agar yozuv yo'q bo'lsa va uni olib tashlash uchun hech narsa yozmagan bo'lsangiz, qandaydir agent kuzatmoqda. Bu xatti-harakatga ega jarayonni toping va marshrut yo'qolgan payt atrofidagi jurnalini o'qing, chunki odatda o'sha xizmat tunnel, paket filtrlari va resolver konfiguratsiyasini yuritadi. Marshrutingiz qolishi uchun uni o'ldirish keyingi qayta ulanishda afsuslanadigan almashinuvdir.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Yuqoridagi prefiks va interfeys o'rinbosarlardir. Interfeys nomini boshqa mashinadagi ishlaydigan misoldan ko'chirish bu namoyish umuman hech narsa bermasligining eng keng tarqalgan sababidir.

Ikkinchi jadval kuzatuvchiga ko'rinmaydi

Agent faqat o'ziga tegishli jadvalni qayta quradi. Istisnoga o'z jadvalini va mos manzillarni u yerga yuboradigan qoidani bering, asosiy jadval hech qachon o'zgarmaydi, shuning uchun agentga tuzatadigan hech narsa qolmaydi. Bu butun g'oya: biri boshqalar yuritadigan marshrutlar nom maydoni, ikkinchisi esa faqat siz tegadigan nom maydoni.

Almashinuv — xizmat ko'rsatish. Ikki obyekt bir-biridan uzoqlashishi mumkin va qoidaning ro'yxatdagi o'rni u tanlagan jadval ichidagi marshrut kabi muhim.

Istisnoni quring, keyin uni g'olib qiling

Jadvalni yarating, marshrutni o'rnating va o'sha manzil uchun jadvalni tanlaydigan qoida qo'shing. Ustuvorlik sizning qoidangiz mijoz kiritgan qoidalardan oldin yoki keyin ko'rib chiqilishini belgilaydi va kechroq tartiblangan qoidaga hech qachon yetib borilmaydi, shuning uchun raqam bezak emas, dizaynning bir qismi. Keyin yadrodan u aslida nima qilishini so'rang, bu siz sozlagan narsadan boshqa savol.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get yadro foydalanadigan marshrutni hal qiladi, qurilma va manba manzilini o'z ichiga oladi. U jadval identifikatorini chop etmaydi, shuning uchun uni ip rule show bilan juftlang, qaysi jadval g'olib bo'lganini tasdiqlash kerak bo'lganda. Birgalikda ular yagona muhim savolga javob beradi: o'sha manzilga trafik siz mo'ljallangan joydan chiqadimi?

Xuddi shu g'oyaning boshqa shakllari

Manzillar bilan fikrlashni to'xtatishingiz bilan naqsh umumlashadi. Tunnel standart marshrutni ushlab turganda mahalliy quyi tarmoq erishish mumkin bo'lib qolishi mumkin. LANga ulangan SSH serverining javoblari tunnelda yo'qolish o'rniga ular kelgan interfeys orqali chiqishi mumkin. Va interfeysga asoslangan qoida simsiz interfeysga keladigan hamma narsani tunnelga surishi mumkin, xostning o'zi yaratadigan trafik esa Ethernetda qoladi:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Oxirgi holat manzilga emas, kiruvchi interfeysga mos keladi, bu boshqa qoida turi va boshqa fikrlash modeli. Yo'naltirilgan trafikka net.ipv4.ip_forward yoqilgan bo'lishi ham kerak va uzoq tomon manba diapazonini orqaga marshrutlashi yoki tarjima qilishi kerak; bitta mashinadagi qoida hech qachon yo'lning ikkinchi yarmini yaratmaydi.

Qoidaga bir martalik deb qarang

Qoidalar va jadval marshrutlari xotirada yashaydi. Qayta ulangandan so'ng tunnel qurilmasi nomi o'zgarishi, tayinlangan manzil siljishi mumkin va eski qiymatni saqlovchi qoida jimgina mos kelishni to'xtatadi. Butun o'zgarishni unga ega yagona skriptdan qayta qo'llang, so'ngra istisnoga ishonishdan oldin ip rule show, joriy qurilma nomi va yangi ip route get ni haqiqiy manzilga qarshi qayta tekshiring.

Qanchalik ehtiyot bo'lsangiz ham, ikki chegara saqlanib qoladi. Mijoz hali ham o'z filtr qoidalari va resolver konfiguratsiyasini boshqaradi va marshrut istisnosi ikkalasini ham bekor qilmaydi. Agar mijoz sizning siyosat qoidangizni ham o'chirsa, qo'llab-quvvatlanadigan yo'llar uning o'z bo'lingan tunnel siyosati yoki OpenConnect kabi marshrutlarni boshqarishga ruxsat beruvchi mijozdir; kuzatuvchini jim qilish uchun sotuvchi binarini yamalash yaxlitlik tekshiruvi bilan birga keladigan xizmat ko'rsatish majburiyatidir.

Jadval raqami, ustuvorlik va manzilni skript yonidagi eslatmaga yozing. Aks holda keyingi odam tunneldan ustun bo'lgan qoidani topadi va nima uchun ekanini bilishning hech qanday yo'li bo'lmaydi.