Zašto vaš VPN interfejs stalno napušta svoju firewalld zonu

Dodate tun0 u pravu zonu, aplikacija počne raditi, a ispravka ispari pri sljedećem ponovnom povezivanju. Ponovno pokretanje iste naredbe radi, zbog čega izgleda kao da je firewalld zaboravio. Nije zaboravio; nešto s jačim pravom na taj interfejs dodijelilo ga je iznova.

Zona preživi dok se interfejs ne stvori iznova

Dodjela firewalld zone interfejsu je vezivanje, a vezivanja su vezana za objekat interfejsa u obliku u kojem sada postoji. VPN klijent koji razgradi uređaj i ponovo ga stvori proizvodi nov objekat, a novi počinje od onoga što kaže komponenta koja dodjeljuje. Zato se simptom ponavlja pri svakom ponovnom povezivanju, a ne pri svakom paketu.

Ista logika objašnjava ponašanje pri restartu: runtime vezivanja ne prežive restart, a trajna vezivanja vrijede samo za uređaje za koje firewalld vjeruje da ih posjeduje.

Prije nego išta promijenite, otkrijte koja komponenta dodjeljuje zonu.

Pročitajte tri stvari prije nego išta promijenite

Zabilježite zonu koju interfejs trenutno ima, aktivne zone s njihovim interfejsima i trajni popis interfejsa za zonu koju namjeravate. Pokrenite te upite prije promjene, nakon ponovnog povezivanja i nakon restarta. Usporedba triju rezultata pokazuje zamjenjuje li se vezivanje, zanemaruje ili samo primjenjuje prekasno. Ako trajni popis već navodi uređaj, a runtime zona se ne slaže, nešto nadjačava vašu izmjenu.

Bilježite i stvarni naziv uređaja na svakom koraku, jer tunel koji danas sleti na tun0 sutra može sletjeti na tun1.

Spremljeno vezivanje za opći naziv nije provjera identiteta, a dvije minute bilježenja štede sat nagađanja.

Kada NetworkManager posjeduje vezu

Ako NetworkManager upravlja VPN vezom, njegov profil nosi zonu i predaje je firewalldu kada se veza aktivira. Trajno vezivanje interfejsa u firewalldu za isti uređaj tada može biti zanemareno, jer je vlasnik NetworkManager. Postavite zonu na vezu i potvrdite da uređujete VPN profil, a ne nepovezanu fizičku vezu ili privremeni zapis.

Promjena tog svojstva može odmah utjecati na aktivnu vezu.

Držite put upravljanja dostupnim i pročitajte pravila odredišne zone prije primjene. Uređivanje polja ZONE u ifcfg datoteci ispravno je samo tamo gdje je ta datoteka još izvor konfiguracije.

Kada firewalld posjeduje vezivanje

Za samostalan tunel s namjerno stabilnim nazivom interfejsa trajna promjena interfejsa pravi je alat. Primijenite je kroz reload ili životni ciklus koji koristi vaše postavljanje, zatim pregledajte runtime stanje, jer izmjena samo u trajnim postavkama opisuje namjeru, a ne ono što je aktivno. Njih dvoje mogu se razilaziti sve dok traje reload.

Ako je naziv interfejsa dinamičan, održavajte dodjelu kroz životni ciklus veze umjesto da se utrkujete s tunelom koji prvi zauzme naziv.

Ne bacajte interfejs u trusted samo da bi aplikacija proradila.

Testirajte reload, ponovno povezivanje i restart

Promjena je gotova tek kada preživi sva tri.

Prvo reloadajte, jer tu nestaju izmjene samo u runtimeu. Zatim ponovo povežite tunel, jer tu zamijenjeni interfejs gubi svoje vezivanje. Zatim restartajte, jer tu se konačno pokaže nesklad vlasnika. Bilježite zonu u svakoj fazi i usporedite je s namjerom koju ste zapisali, i zabilježite koji je korak proizveo razliku.

Ako je zona ispravna, a aplikacija ipak ne radi, problem je u pravilima zone ili u klasifikaciji po izvoru, a ne u članstvu. firewalld dokumentacija o vezama i interfejsima referenca je za to kako bi vlasništvo trebalo raditi.

Zapišite vlasnika, vrijednost i očekivani rezultat u runbook, i sljedeća će dodjela biti objašnjiva.