Bo’sh VPN jadvali o’z-o’zidan hech narsani bloklamaydi

Siyosat qoidasi belgilangan paketlarni alohida jadvalga yuboradi va odatiy kutilma VPN marshruti yo’qolsa, ular bloklanadi. Lekin mexanizm boshqa narsa qiladi. Jadvalda mos marshrut bo’lmasa, qidiruv keyingi qoidaga davom etadi to’xtash o’rniga, va main jadvali hali ham uplink uchun oddiy standart marshrutni saqlaydi. Natija fail-closed ko’rinadigan, ammo fail-open kabi ishlaydigan konfiguratsiya.

Hech narsa buzilmagan; siyosatga asoslangan marshrutlash shunday belgilangan.

Jadvalda hech narsa bo’lmasa, qidiruv davom etadi

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 lookup default
32766: from all lookup main

Shu qoidalar to’plamini oling: belgilangan qidiruv 42-jadvalga boradi, keyingi qoida esa o’sha belgini default nomli jadvalga yuboradi. 42-jadvalda foydalanish mumkin bo’lgan standart marshrut bor ekan, birinchi qidiruv yo’lni beradi. O’sha marshrut yo’qolsa va 42-jadvalda boshqa hech narsa mos kelmasa, qidiruv tashlashga aylanmaydi; ishlov keyingi qoidaga o’tadi, u ham hech narsa topmasa, main jadvaliga yetadi. Bu ketma-ketlikda hech narsa qaysi qoida yakuniy javob berganini bildirmaydi, shuning uchun ishlayotgan ulanish ishlayotgan siyosat kabi ko’rinadi.

An’anaviy ravishda default deb ataladigan 253-jadval oddiy marshrutlash jadvali va odatda bo’sh bo’ladi. Uning nomi paketlarni tashlash buyrug’i emas va jadval ichidagi standart maqsad marshruti bilan bir xil emas.

Terminal amallar qidiruvni tugatadi

100:   from all fwmark 0x36 lookup 42
110:   from all fwmark 0x36 prohibit
32766: from all lookup main

Terminal qoida bo’sh jadval qidiruv o’rniga VPN qidiruvidan keyin kelishi mumkin. Xuddi shu belgi bilan, 42-jadval qoidasidan keyin qo’yilgan prohibit amali o’sha jadval hech narsa bermasa, qidiruvni tugatadi va main jadvaliga yana bir imkoniyat berish o’rniga ma’muriy rad javobini qaytaradi. Unreachable va blackhole ham terminal, jo’natuvchi uchun boshqa xato xatti-harakati bilan.

throw turidagi marshrut boshqacha: o’sha jadval ichida u hech narsa mos kelmagan kabi ishlaydi, shuning uchun keyingi qoidalar baribir o’z navbatini oladi. Bu throw’ni qasddan orqaga qaytish uchun foydali va yakuniy blok sifatida noto’g’ri qiladi.

Haqiqiy belgi va interfeys bilan tekshiring

ip -4 rule show
ip -4 route show table 42
ip -4 route get 198.51.100.20 from 10.44.0.2 iif lan0 mark 0x36

Diagramma o’rniga haqiqiy qoidalar va jadvalni ko’zdan kechiring, so’ngra oqimni uning haqiqatan ega bo’lgan manba, belgi va kirish konteksti bilan so’rang. Manzilga qaratilgan, manba manzili, interfeys va belgi berilgan faqat-o’qish qidiruvi paket chiqmasdan yadro tanlaydigan marshrutni bildiradi. So’rovda belgi berish firewall haqiqiy trafikni belgilashini isbotlamaydi; bu belgilash qoidalarining alohida tekshiruvi. So’rovdan xulosa chiqarishdan oldin qiymatni hisoblagich yoki jurnal bilan tasdiqlang.

Mahalliy yaratilgan so’rovlar o’z kontekstiga muhtoj, chunki ularning belgilash yo’li ko’pincha uzatiladigan trafik yo’lidan farq qiladi. Ularni ilova haqiqatan ishlatadigan chiqish interfeysi bilan tekshiring.

Ikki nosozlik holati, bittasi emas

Bir nosozlik holati — VPN marshrutining yo’qolishi va trafikning uplinkka tushishi. Marshruti o’rnatilgan qolgan o’lik tunnel — boshqa holat: paketlar tushish o’rniga yaroqsiz yo’lga yo’naltirilgan holda qoladi va alomat ko’rinadigan to’g’ridan-to’g’ri ulanish emas, jim yo’qotishdir. Ikkalasini ham sinab ko’ring, shuningdek ishga tushish, qayta ulanish va xizmatni to’xtatish xatti-harakatini.

Bunday qoida faqat u mavjud bo’lgan va paketlar hali ham uni tanlaydigan belgini olib yurgan vaqtgacha yordam beradi. Qoidani o’chiruvchi o’chirish skripti yoki belgini olib tashlaydigan yo’l ochiq xatti-harakatni tiklaydi. O’sha o’tishlarni mashq qilish arziydi.

Siyosatni IPv6ga alohida qo’llang va tasdiqlangan oxirgi nuqta istisnolarini yashirin emas, aniq saqlang.