Zergatik uzten dion net.ipv4.conf.default.forwarding-ek tun0-ri ukitu gabe

Hau ezarri duzu: net.ipv4.conf.default.forwarding=1, VPN-a berrabiarazi duzu, eta tunelak oraindik atezainak bideratu beharko lituzkeen paketeak botatzen ditu. Ezarpena ondo dago fitxategian, eta interfazeak oraindik jakinarazten du birbidalketa desgaituta dagoela. Ez da ezer hautsi: etorkizuneko interfazeek heredatuko duten balioa aldatu duzu, tunel biziak erabiltzen duena ez.

Egin hau tunela duen ostalarian, tunela benetan existitzen den sare-namespace-an. Edukiontziak edo sare-namespace-ak interfazea eduki dezake ostalariak beste zenbaki batzuk erakusten dituen bitartean.

Irakurri hiru balioak elkarrekin

Hasi atezain osoko etengailua, interfaze berrien txantiloia eta axola zaizun interfazea konparatzen. Ordeztu tun0 benetako sarrera-interfazearekin, eta irakurri itzulera-interfazea ere, birbidalketa paketea iristen den puntuan ebaluatzen delako.

sysctl net.ipv4.ip_forward
sysctl net.ipv4.conf.default.forwarding
sysctl net.ipv4.conf.tun0.forwarding

Emaitza ohikoa da ip_forward = 0, default.forwarding = 1 eta tun0.forwarding = 0. Lehenengo biak ez datoz bat ostalariaren rolari buruz, eta hirugarrenak erakusten du zer egiten duen interfazeak benetan. Konbinazio hori bat dator inoiz router gisa konfiguratu ez zen ostalari batekin, txantiloi-balio bat besterik jaso ez zuena. Hiru zenbakiak ez dira elkarren kontrakoak; hiru galdera desberdini erantzuten diete. Txantiloi-balioa idazteak ere ez du ostalariaren rola erabakitzen.

Zergatik mugitzen den etengailu globala

net.ipv4.ip_forward atezain osoko kontrola da. Hura aldatzeak interfaze bakoitzeko birbidalketa-ezarpenak eguneratzen ditu eragiketa beraren barruan, horregatik idazketa bakar batek lehendik dagoen tunela birbidaltzen hasarazi dezake. default.forwarding ondoren hasieratzen diren interfazeak soilik ereiten ditu, beraz lehendik zegoen tunel batek jaiotzean zuen balioa gordetzen du.

Kernelaren dokumentazioak ip_forward berezi gisa markatzen du erlazionatutako arrazoi batengatik: hura aldatzeak beste IPv4 parametro batzuk ostalari edo router lehenespenetara berrezartzen ditu. Horrek tresna kamuts bihurtzen du. Atezain-rola ezartzearen barruan behin ezartzea ondo dago; arazketa-trikimailu gisa behin eta berriz aldatzeak isilpean berridatz ditzake zuk denbora eman duzun konfigurazioa.

Interfaze bakoitzeko balioak ere arrazoi batengatik daude. Nahita kudeatutako atezain batek birbidalketa itzalita eduki dezake inoiz bideratu behar ez duen interfaze batean, ostalariak beste nonbait birbidaltzen duen bitartean ere. Horregatik da garrantzitsua interfaze bizia irakurtzea eta horregatik balio globala soilik ez da erantzun osoa. Irakurri horrelako salbuespena erabaki kontziente gisa, eta idatzi zergatik den interfaze hori desberdina. Bestela hurrengo ingeniariak "konpondu" egingo du, laguntzeko asmoz.

Egin ezarpena iraunkor leku egokian

Behin-behineko sysctl -w arrakastatsu batek frogatzen du kernelak balioa onartzen duela. Ez du berrabiaraztea gainditzen, eta ez du konexioa berritzean interfazearen konfigurazioari buruzko bere ideia berriro aplikatzen duen sare-kudeatzailea gainditzen. Jarri atezain-rola sysctl konfigurazio-fitxategian edo ostalaria duen sare-kudeatzailean, eta gero berrabiarazi hura aplikatzen duen zerbitzua.

Ordenak garrantzia du tunelekin. Kudeatzaileak abioan interfazea sortzen badu eta birbidalketa geroago aplikatzen badu, interfazeak lehenespen zaharra hereda dezake. Tunela berriro sortzen duen zerbitzu-berrabiaraztea sorkuntza-gertaera bat da ere, eta erraza da ez ohartzea unitatea osasuntsu dagoenean. Egiaztatu segida, ez bakarrik fitxategiaren azken edukia.

Irakurri berriro hiru balio berak VPN-a berriz konektatu ondoren eta berriro berrabiarazi ondoren. Sortu berri den tunela interfaze berria da, eta interfaze berri batek sorkuntza-momentuan indarrean dagoen lehenespidea hartzen du. Zenbakiak gertaera horien zehar aldatzen badira, konfigurazioa oraindik identifikatu ez duzun zerbait ari da aplikatzen.

Ez konpondu hau tresna okerrarekin

Birbidalketa hautsi egin zela zirudienean, tentazioa suebakia hustea edo masquerading gehitzea da. Biak ere ez diote birbidalketa-etengailuari heltzen. Birbidalketa-egoera, birbidaltzeko baimena, helmugarako bide bat eta itzulera-bidea lau baldintza bereiziak dira, eta lehenengoa bakarrik da sysctl.

Probatu zuzeneko fluxuarekin ere. Atezainean bertan egindako eskaerak ez du birbidalketa batere erabiltzen; tokian tokiko trafikoa da. Galdera da VPN bezero batetik edo LAN ostalari batetik iristen den paketea onartzen eta aurrera bideratzen den, beraz probak atezainaren atzetik abiatu behar du.

Eduki IPv6 kasua bereizita

Hemen dena IPv4 da. IPv6 birbidalketak, router iragarkiek eta accept_ra portaerak beren kontrolak dituzte, eta ipv4 bide bat ipv6 ezarpenean kopiatzeak fitxategi sinesgarria sortzen du, baina ez du ezer erabilgarririk egiten. Pila biko atezain batek bi multzoak nahita konfiguratuta behar ditu.

Azken egiaztapena: balioak bat etorri ondoren, egiaztatu tunelaren bidea helmugarako hautatzen dela eta itzulera-bidea existitzen dela. Biderik gabeko interfaze batean gaitutako birbidalketa zulo beltza da oraindik, eta hutsegite hori berdin ikusten da bezeroaren aldetik.