Desapareixen les respostes de la VPN a Linux? Comproveu rp_filter i la ruta

Les peticions surten de la màquina, el par de la VPN respon, i la resposta no arriba mai a l'endoll. El túnel està aixecat, els registres del par mostren que el paquet s'envia, i res de l'aplicació no explica el silenci. A Linux, un dels sospitosos habituals és el filtratge de camí invers: un paquet IPv4 entrant pot ser rebutjat quan la validació d'origen no coincideix amb la ruta que el nucli espera per a aquell origen. Recórrer-ho per ordre us diu si això és la causa o una coincidència. També us impedeix desactivar un control de seguretat per arreglar una ruta que falta.

Què decideix la validació d'origen

El nucli comprova si l'adreça d'origen d'un paquet és versemblant per a la interfície per la qual ha arribat, consultant la taula d'encaminament per una ruta de tornada a aquell origen. Si la ruta inversa apunta a un altre lloc, el paquet pot ser descartat abans que cap regla de tallafocs ni cap endoll d'aplicació el vegi. Aquesta comprovació existeix per fer més difícils certs patrons de falsificació, i és també per això que els dissenys asimètrics i enrutats per política hi topen mentre que qualsevol client corrent de la mateixa xarxa funciona bé. Els clients corrents tenen encaminament simètric, que és exactament el que la comprovació suposa.

La paraula important és versemblant. El paquet pot ser perfectament legítim i tot i així fallar la comprovació, perquè no s'hi està provant la legitimitat.

Llegiu el mode efectiu, no un sol camp

Hi ha tres modes: desactivat, estricte i lax. L'estricte imposa una expectativa de ruta diferent de la del lax, i el paràmetre global interactua amb els de cada interfície, així que llegir un sol fitxer pot descriure malament el que està realment en vigor. Llegiu tots dos, i llegiu-los a la interfície que rep la resposta, no a la interfície de la ruta per defecte.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

La consulta de ruta d'aquella tercera línia és la part que la gent s'estalvia. Us diu què creu el nucli sobre l'origen, que és exactament l'entrada de la comprovació.

Trobeu la discrepància abans de canviar la comprovació

Esbrineu per què la resposta arriba per aquella interfície i si la seva ruta inversa ha de ser diferent. Una regla de política que envia les peticions per un camí mentre les respostes tornen per un altre és un disseny legítim, i és també el disseny que la validació estricta rebutja. Les marques usades en l'encaminament per política també poden importar aquí, perquè canvien què retorna la consulta inversa.

Si la ruta inversa simplement falta, afegir-la arregla la causa en lloc de desactivar una comprovació. Una ruta que falta, un rebuig del tallafocs i un selector de trànsit equivocat produeixen el mateix símptoma visible, i només un d'ells tracta de la validació d'origen.

No desactiveu les comprovacions d'origen globalment com a primera resposta. Això canvia un diagnòstic concret per un canvi de comportament ampli que haureu de recordar més endavant.

Un ajust selectiu que podeu defensar

Si un ajust estret és realment necessari, limiteu-lo a la interfície que el necessita, anoteu per què i poseu-lo a la configuració que és propietària d'aquella interfície perquè sobrevisqui a un reinici. Després torneu a provar el flux exacte que va fallar, del mateix origen al mateix destí, en lloc d'un ping a una cosa convenient.

Incloeu un cas que encara s'hauria de rebutjar. Si aquest cas ara té èxit, l'ajust ha debilitat més que el sol camí que volíeu reparar.

Manteniu IPv4 i IPv6 separats

Un sysctl d'aspecte familiar no és una política per a cada família d'adreces. IPv6 té el seu propi comportament i els seus propis paràmetres, i una màquina pot ser estricta en una família i permissiva en l'altra sense que ningú se n'adoni fins que falla un destí concret. Comproveu tots dos si la càrrega de treball els fa servir tots dos.

Anoteu el mode, la interfície, la sortida de la consulta de ruta i el motiu del canvi en un sol lloc. La propera persona trobarà el paràmetre i cap explicació, i o bé el traurà o bé el copiarà on no toca.