Linux VPN-eko erantzunak desagertu dira? Egiaztatu rp_filter eta bidea

Eskaerek makina uzten dute, VPN parekideak erantzuten du, eta erantzunak ez du inoiz socket-era iristen. Tunela altxatuta dago, parekidearen erregistroek paketea bidali dela erakusten dute, eta aplikazioko ezerk ez du isiltasuna azaltzen. Linuxen susmagarri ohikoenetako bat alderantzizko bidearen iragazketa da: sarrerako IPv4 paketea baztertu daiteke iturriaren baliozkotzea nukleoak iturri horretarako espero duen bidearekin bat ez datorrenean. Hura ordenan zeharkatzeak esaten dizu hori kausa den edo kasualitatea den. Gainera, saihesten du segurtasun kontrol bat desgaitzea falta den bide bat konpontzeko.

Zer erabakitzen du iturriaren baliozkotzeak

Nukleoak egiaztatzen du pakete baten iturri helbidea sinesgarria den iritsi zen interfazearentzat, bideratze taulara jotzen du iturri horretara itzultzeko bide baten bila. Alderantzizko bidea beste nonbait seinalatzen badu, paketea baztertu daiteke edozein suebaki arauk edo aplikazio socketek ikusi aurretik. Egiaztapen hori spoofing eredu jakin batzuk zailtzeko dago, eta horregatik diseinu asimetrikoek eta politikan oinarritutako bideratzeekin topo egiten dute, sare bereko edozein bezero arrunt ondo funtzionatzen duen bitartean. Bezero arruntek bideratze simetrikoa dute, eta horixe da egiaztapenak suposatzen duena.

Hitz garrantzitsua sinesgarria da. Paketea erabat zilegia izan daiteke eta hala ere egiaztapenean huts egin, ez baita zilegitasuna probatzen.

Irakurri benetako modua, eremu bakarra ez

Hiru modu daude: desgaitua, zorrotza eta lasaia. Zorrotzak lasaiak ez bezalako bide itxaropena ezartzen du, eta ezarpen globalak interfaze bakoitzekoekin elkarreragiten du, beraz fitxategi bakarra irakurtzeak indarrean dagoena gaizki deskriba dezake. Irakurri biak, eta irakurri erantzuna jasotzen duen interfazean, ez bide lehenetsiaren interfazean.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Hirugarren lerroko bide kontsulta jendeak saltatzen duen zatia da. Nukleoak iturriaz zer uste duen esaten dizu, eta horixe da egiaztapenaren sarrera.

Aurkitu bat ez etortzea egiaztapena aldatu aurretik

Argitu zergatik iristen den erantzuna interfaze horretara eta haren alderantzizko bidea desberdina izan behar ote den. Eskaerak bide batetik bidali eta erantzunak beste batetik itzultzen dituen politika araua diseinu zilegia da, eta horixe da baliozkotze zorrotzak baztertzen duen diseinua. Politika bideratzean erabilitako markek ere garrantzia izan dezakete hemen, alderantzizko kontsultak zer itzultzen duen aldatzen baitute.

Alderantzizko bidea huts-hutsik falta bada, hura gehitzeak kausa konpontzen du egiaztapen bat desgaitu ordez. Falta den bideak, suebakiaren ukapenak eta trafiko hautatzaile okerrak sintoma ikusgai bera sortzen dute, eta horietako bat bakarrik da iturriaren baliozkotzeaz.

Ez desgaitu iturri egiaztapenak globalki lehen erantzun gisa. Horrek diagnostiko zehatza portaera aldaketa zabal batekin trukatzen du, geroago gogoratu beharko duzuna.

Defenda dezakezun doikuntza selektiboa

Doikuntza estu bat benetan beharrezkoa bada, mugatu behar duen interfazera, idatzi zergatik, eta jarri interfaze horren jabe den konfigurazioan, berrabiarazteari eusteko. Ondoren probatu berriro huts egin zuen fluxu zehatza, iturri beretik helmuga berera, komenigarria den zerbaiti ping egin ordez.

Sartu oraindik ukatu beharko litzatekeen kasu bat. Kasu hori orain arrakastatsua bada, doikuntzak konpondu nahi zenuen bide bakarra baino gehiago ahuldu du.

Eduki IPv4 eta IPv6 bereizita

Ezaguna dirudien sysctl bat ez da politika helbide familia guztietarako. IPv6-k bere portaera eta bere ezarpenak ditu, eta makina bat zorrotza izan daiteke familia batean eta permisiboa bestean, inork nabaritu gabe helmuga zehatz batek huts egin arte. Egiaztatu biak karga-lanak biak erabiltzen baditu.

Erregistratu modua, interfazea, bide kontsultaren irteera eta aldaketaren arrazoia leku bakarrean. Hurrengo pertsonak ezarpena aurkituko du eta azalpenik ez, eta kenduko du edo dagokion tokian ez den leku batera kopiatuko du.