Cadwch anfon ymlaen IPv4 yn barhaol ar ôl ailgychwyn porth VPN

Mae pingio’r porth yn gweithio ac mae cyrraedd unrhyw beth y tu ôl iddo yn methu, a dyna siâp problem anfon ymlaen yn hytrach na phroblem twnnel. Mae danfoniad lleol i’r porth yn profi bod y twnnel wedi codi a bod y neilltuo cyfeiriad wedi gweithio; nid yw’n dweud dim am a fydd y cnewyllyn yn pasio pecyn o un rhyngwyneb i’r llall. Cyn cyffwrdd unrhyw sysctl, cadarnhewch fod y peiriant i fod i lwybreiddio’r traffig hwn a darganfyddwch y cyd-destun rhwydwaith sy’n dal y rhyngwyneb sy’n wynebu’r cleient. Yna darllenwch y gwerth yno, nid lle digwyddodd y canllaw diwethaf i chi ei ddarllen edrych.

Nid yw cyrraedd y porth yr un peth ag anfon ymlaen

Mae dau benderfyniad ar wahân yn digwydd y tu mewn i’r cnewyllyn. Mae danfon i gyfeiriad lleol yn gorffen taith y pecyn; mae anfon ymlaen yn ei anfon allan eto drwy ryngwyneb arall, ac mae’r ail benderfyniad hwnnw’n cael ei reoli fesul gofod enw rhwydwaith. Gall porth fod yn hollol gyrraeddadwy tra bod anfon ymlaen i ffwrdd, ac o anogwr ping mae’r ddau fethiant yn edrych yr un fath.

Nodwch pa ryngwyneb y mae pecyn y cleient yn cyrraedd arno a pha ryngwyneb y mae’r llwybr ymlaen yn gadael drwyddo. Mae’r ddau yn perthyn i un gofod enw, a’r gofod enw hwnnw sy’n dal y gosodiad sy’n bwysig.

Darllenwch y gwerth lle mae’r pecynnau mewn gwirionedd

Ar borth sy’n llwybreiddio yng ngofod enw’r gwesteiwr, mae un gorchymyn yn ateb y cwestiwn: sysctl net.ipv4.ip_forward. Pan fo’r llwybr mynediad a’r llwybr ymlaen yn byw mewn gofod enw a enwir, gofynnwch i’r gofod enw hwnnw: ip netns exec vpn-gw sysctl net.ipv4.ip_forward. Nid yw gwerth y gwesteiwr yn ddirprwy ar gyfer gwerth y gofod enw, ac nid yw un ar y gwesteiwr yn dystiolaeth o unrhyw beth.

Nid oes gan bob cyd-destun llwybreiddio label y gallwch ei basio i ip netns. Mae amgylcheddau rhedeg cynwysyddion a gwasanaethau’n creu gofodau enw na chânt eu cofrestru byth o dan enw cyfeillgar, ac ar gyfer y rheini defnyddiwch offer archwilio’r amgylchedd rhedeg. Amnewidiwch yr enw gwirioneddol am vpn-gw, neu’r mecanwaith amgylchedd rhedeg sy’n cyrraedd yr un cyd-destun, a stopiwch ddyfalu ar lefel y gwesteiwr.

Rhowch un perchennog i’r gosodiad

Ar borth gwesteiwr systemd confensiynol, y ffurf barhaol yw ffeil drop-in ag enw a ddewiswyd gan weinyddwr fel /etc/sysctl.d/60-vpn-forwarding.conf sy’n cynnwys net.ipv4.ip_forward = 1. Ysgrifennwch y ffeil, yna llwythwch y ffeil benodol honno fel bod y cyflwr byw yn newid hefyd: sudo sysctl -p /etc/sysctl.d/60-vpn-forwarding.conf, ac yna darllen yn ôl. Enghraifft yw enw’r ffeil yn hytrach na llwybr VPN neilltuedig, ac mae’r rhif arweiniol yn bwysig oherwydd bod ffeiliau a sortir yn ddiweddarach yn ennill.

Blaenoriaeth yw’r man lle mae parhad yn torri’n dawel. Gwiriwch lwythydd y dosbarthiad yn ogystal â’ch drop-in eich hun, oherwydd mae procps sysctl --system hefyd yn darllen /etc/sysctl.conf ar y diwedd, tra bod trefn sysctl.d systemd yn ddilyniant hollol wahanol. Gall aseiniad diweddarach osod yr un allwedd yn syth yn ôl, gan adael eich ffeil yn gywir a’r gwerth effeithiol yn anghywir. Peidiwch â throsysgrifo ffeil gweinyddwr sy’n bodoli eisoes i ennill y ddadl honno; darganfyddwch y perchennog a newidiwch yno.

Nid yw gofod enw a grëwyd ar ôl cychwyn yn cael ei reoli gan drop-in gwesteiwr o gwbl. Mae ei osodiad yn perthyn i beth bynnag sy’n ei greu, boed yn amgylchedd rhedeg cynwysyddion neu’n uned darparu ar gyfer y gofod enw. Mae rhoi braint gwesteiwr eang i gynhwysydd er mwyn osgoi’r cwestiwn yn fargen waeth na threulio deng munud yn nodi’r perchennog cywir.

Gwybyddwch beth mae’r swits yn ei gostio cyn ei droi

Nid boolean diniwed yw ip_forward. Mae dogfennaeth y cnewyllyn yn nodi bod ei newid yn ailosod sawl paramedr IPv4 arall i’w rhagosodiadau gwesteiwr neu lwybrydd, felly gall troi diagnostig daflu addasiadau a osodwyd yn rhywle arall heb sôn amdanynt. Trinnwch ef fel newid cyfluniad ag effeithiau ochr yn hytrach na phrawf y gellir ei redeg yn ddi-hid.

Mae hynny hefyd yn diystyru ei ddiffodd a’i droi ymlaen bob tro na all cleient gyrraedd gwesteiwr. Os yw’r gwerth eisoes yn un, mae’r nam yn rhywle arall ar y llwybr, ac ni fydd ailysgrifennu’r un allwedd am y trydydd tro yn ei symud.

Profwch barhad, yna profwch weddill y llwybr

Darllenwch y gwerth yn ôl ar bedwar achlysur: yn syth ar ôl y newid, ar ôl i’r rhyngwyneb VPN ymddangos, ar ôl ailgysylltu, ac ar ôl ailgychwyn a gynlluniwyd. Mae gan werth sy’n dychwelyd ar unrhyw un o’r pwyntiau hyn ail berchennog, ac mae un ysgrifen unwaith eto yn ei guddio nes y bydd yr ailgychwyn nesaf.

Mae anfon ymlaen wedi’i alluogi yn gadael tri pheth i’w gwirio o hyd. Mae angen llwybr i’r cleient at y cyrchfan, mae angen llwybr ymlaen ynghyd â chaniatâd i’w ddefnyddio ar y porth, ac mae angen llwybr dychwelyd at gyfeiriad twnnel y cleient ar y cyrchfan. Nid yw LAN breifat wedi’i llwybreiddio’n gofyn am NAT yn awtomatig, felly peidiwch ag ychwanegu masquerading cyn i chi wybod pa un o’r tri sydd ar goll, a phrofwch o’r cleient a fwriadwyd yn hytrach nag o’r porth ei hun, oherwydd nid yw cais a ddechreuwyd ar y porth byth yn cyffwrdd y llwybr anfon ymlaen yr ydych newydd ei alluogi. Mae IPv6 yn cario ei bolisi anfon ymlaen a llwybreiddio ei hun, felly nid yw prawf IPv4 sy’n gweithio yn dweud dim amdano.

Cadwch lwybr y drop-in, perchennog y gofod enw a’r gorchymyn darllen yn ôl gyda’i gilydd yn y runbook. Dylai pwy bynnag sy’n cymryd hyn nesaf allu darllen y gwerth, gweld pwy sy’n berchen arno, a phenderfynu o fewn munud ai parhad neu weddill y llwybr yw’r broblem.