eth0:0 etiketa da, ez gailua: konpondu SNATaren bat etortzea

Zenbakagailua zero izateak arauak ezin existitu dezakeen interfaze bat aipatzen duela esan nahi du. Irakurri benetako gailua, zuzendu -o bat etortzea eta gero aukeratu itzulitako helbidea nahita.

VPN bezero-talde bati bere helbide publikoa ematen zion NAT araua zero paketutan dago, eta talde berak iturburu okerrarekin ateratzen jarraitzen du. Arauak normalean ez du helbidea huts egiten; interfazea huts egiten du. -o eth0:0 ez dagoen gailu bat seinalatzen du, zeren eth0:0 etiketak helbide batekin lotzen du eth0. Kontagailuei begiratzea da hori baieztatzeko modurik azkarrena, eta konponketa ikerketak iradokitzen duena baino txikiagoa da.

Egiaztatu nola deitzen dion kernelek gailuari

Irakurri bi ikuspegiak bereiz, ezer aldatu aurretik:

ip link show
ip address show dev eth0
ip route get 203.0.113.20

Esteken zerrendak interfazeak erakusten ditu. Helbideen zerrendak etiketa daraman bigarren IPv4 helbide bat erakuts dezake eth0:0, eta helbide horren gailua oraindik eth0. iproute2ren helbideen eskuliburuak etiketa helbidearen izentzat hartzen du, ez bigarren estekatzat, eta hori da arazo osoaren gakoa.

Historiak argitzen du nahasmena. Antzinako ifconfig eth0:0 sintaxiak benetan interfaze berri bat ematen zuen, eta garai hartako scriptek oraindik bat aipatzen dute. Gaur egungo sisteman aliasa helbide baten gaineko etiketa da, eta ezerk ez du bideratze- edo netfilter-bidean irteera-puntu bereiztzat jotzen.

Egiaztatu arauak benetan zer harrapatu zuen

Irakurri kontagailuak arauen zerrendarekin batera, memoriatik baino:

iptables -t nat -L POSTROUTING -v -n --line-numbers

Trafiko egokia pasatzen den bitartean pakete-kontagailua zeroan geratzen zaion araua ez da ebaluatzen, eta irteerako interfazearen baldintza batek eth0:0 aipatzea ohiko arrazoia da. Bideak hautatutako irteerako gailua eth0 da, beraz beste izen bat bilatzen duen baldintza ez da inoiz egia bihurtzen, kernelek zein iturburu-helbide hautatu zuen ere.

Aldatu baldintza benetako gailura eta utzi etiketa kanpoan. Gailu hori partekatzen duten bi bezero-talde bereizi behar badituzu, bereizi iturburu-prefixaren arabera, ezin den interfaze-izen baten arabera baino. Gainjartzen ez diren -s bat etortzedun bi arau irakurgarriak eta probagarriak dira; gailu fikziozko duen arau bakarra ez da ez bata ez bestea. Eman arau bakoitzari taldea izendatzen duen iruzkin bat, sei hilabete barru prefixak bakarrik ez baitie inori esango zergatik dagoen hor.

Egiaztatu gailua hautatu zuen bidea

Postrouting NAT bideak irteerako interfazea hautatu ondoren exekutatzen da, beraz arauko interfazea bideak hautatutakoa izan behar da. Galdetu kerneleari zuzenean ip route get erabiliz bezero-helbide adierazgarri batentzat, eta irakurri bai gailua bai jakinarazten duen iturburua.

Erantzunak eth0 aipatzen badu, arauaren interfaze-parteak konponduta dago. Tunel-gailu bat aipatzen badu, paketeak ez dio inoiz zuk editatzen ari zaren arauari heltzen, eta bilaketak bideratze-taulari eta haren lehentasunei ekiten die. Paketea beste nonbaitetik atera zelako inoiz bat ez datorren araua berdin ikusten da kontagailuen irteeran, gailu gaizki idatziko arau bat bezala. Egiaztatu zein dituzun bietako, ezer editatu aurretik, bigarrenak bideratze-aldaketa behar baitu eta ez testu-aldaketa.

Hautatu itzulitako iturburua nahita

Gailua zuzena denean, iturburu-helbidea erabaki aparta da. Hau IPv4 talde irudizko bat eta adibide-helbide bat baino ez da:

iptables -t nat -A POSTROUTING -s 10.8.1.0/24 -o eth0 \
  -j SNAT --to-source 203.0.113.20

Helbide bat --to-source idazten ez du inork zuregana bideratuko. Upstream hornitzaileak edo helbidearen jabeak helbide horretarako erantzunak host honetara bidali behar ditu, eta helbidea erabiltzeko baimena izan behar duzu. Ez bada, araua bat etorri eta itzuliko da, eta erantzunak beste nonbait joango dira.

Iturburu-helbidea aldatzea ez da uplink-a aldatzea bezala. Benetako baldintza bide fisiko desberdina denean, bideratze-politikak bide hori hautatu behar du lehenengo; SNATek gero iturburua berridazten du politikak hautatutako gailuan. Etiketa gehiago eth0 jartzeak ez du ez bidea ez baimena ematen.

Egiaztatu oraintxe irekitako konexio batekin

Ireki bezero-konexio berri bat, existitzen den bat berrerabili beharrean. Konexioen jarraipenak fluxua hasi zenean erregistratutako itzulpena gordetzen du, beraz saio zahar batek aurreko iturburu-helbidea erabiltzen jarrai dezake eta arau berri zuzena hautsita dagoela iradoki. Ikusi kontagailua igotzen, eta gero itzulitako iturburua ikusi kablean edo urruneko muturrean.

Interfaze bat partekatzen duten hainbat taldetarako, eman bakoitzari iturburu-bat etortze argia eta bere itzulpen-helbidea, mantendu suebakiaren kudeatutako konfigurazioan eta idatzi ebaluatzen diren ordena. Gero erregistratu zer egiaztatu zenuen: gailua ip route get, mugitu zen kontagailua eta urruneko aldeak ikusitako iturburua. Erregistro horrek hurrengo txostena erantzuten du aliasaren nahasmena errepikatu gabe.

Erlazionatutako artikuluak