Egin IPv4 birbidalketa iraunkor VPN atebidearen berrabiaraztean zehar

Atebidea pingatzeak funtzionatzen du eta haren atzeko edozer lortzeak ez, eta hori birbidalketa arazo baten forma da, ez tunel arazo batena. Atebidera tokiko entrega egiteak tunela altxatu zela eta helbide-esleipena ondo joan zela frogatzen du; ez du ezer esaten nukleoak paketea interfaze batetik bestera pasako duen ala ez. Edozein sysctl ukitu aurretik, egiaztatu makinak trafiko hau bideratzeko xedea duela eta aurkitu bezeroari begira dagoen interfazea daukan sare-testuingurua. Gero irakurri balioa han, irakurri zenuen azken gidak kasualitatez begiratu zuen tokian beharrean.

Atebidera iristea ez da birbidaltzearekin berbera

Bi erabaki bereizi gertatzen dira nukleoaren barruan. Helbide lokal batera entregatzeak paketearen bidaia amaitzen du; birbidaltzeak beste interfaze batetik berriro bidaltzen du, eta bigarren erabaki hori sare-izen-espazio bakoitzeko arautzen da. Atebide bat erabat irisgarria izan daiteke birbidalketa itzalita dagoen bitartean, eta ping gonbit batetik bi hutsegiteak berdinak dirudite.

Idatzi bezeroaren paketea zein interfazetatik iristen den eta aurrerako bideak zein interfazetatik uzten duen. Biak izen-espazio bakarrari dagozkio, eta izen-espazio horrek du axola duen ezarpena.

Irakurri balioa paketeak benetan dauden tokian

Ostalariaren izen-espazioan bideratzen duen atebide batean, komando batek erantzuten du galdera: sysctl net.ipv4.ip_forward. Sarrera-bidea eta aurrerako bidea izendatutako izen-espazio batean bizi direnean, galdetu izen-espazio horri: ip netns exec vpn-gw sysctl net.ipv4.ip_forward. Ostalariaren balioa ez da izen-espazioaren balioaren ordezkoa, eta ostalarian bat egotea ez da ezeren froga.

Bideratze-testuinguru guztiek ez dute etiketarik ip netns komandoari pasatzeko. Edukiontzi-erreprodukzio-inguruneek eta zerbitzuek inoiz izen lagunkoi batekin erregistratzen ez diren izen-espazioak sortzen dituzte, eta horietarako ingurunearen ikuskapen-tresnak erabiltzen dituzu. Ordeztu vpn-gw benetako izenarekin, edo testuinguru berera iristen den ingurune-mekanismoarekin, eta utzi ostalari mailan asmatzeari.

Eman ezarpenari jabe bakarra

systemd ostalari-atebide arrunt batean, forma iraunkorra administratzaileak aukeratutako izena duen drop-in fitxategi bat da, adibidez /etc/sysctl.d/60-vpn-forwarding.conf, net.ipv4.ip_forward = 1 daukatena. Idatzi fitxategia, eta gero kargatu fitxategi zehatz hori egoera bizia ere alda dadin: sudo sysctl -p /etc/sysctl.d/60-vpn-forwarding.conf, ondoren atzera irakurtze bat. Fitxategiaren izena adibide bat da, ez VPN bide erreserbatua, eta hasierako zenbakiak axola du, geroago ordenatutako fitxategiek irabazten baitute.

Lehentasuna da iraunkortasuna isil-isilik hausten den tokia. Egiaztatu banaketaren kargatzailea eta zure drop-in fitxategia ere, procps sysctl --system komandoak amaieran /etc/sysctl.conf ere irakurtzen baitu, systemd-ren sysctl.d ordena erabat bestelako segida den bitartean. Geroagoko esleipen batek gako bera berehala jar dezake berriz, zure fitxategia zuzen utzita eta balio eraginkorra oker. Ez gainidatzi lehendik dagoen administratzaile-fitxategi bat eztabaida hori irabazteko; aurkitu jabea eta aldatu han.

Abioaren ondoren sortutako izen-espazioa ez da inola ere ostalariaren drop-in fitxategi batek arautzen. Haren ezarpena sortzen duenaren esku dago, edukiontzi-erreprodukzio-ingurunea edo izen-espazioaren hornidura-unitatea izan. Edukiontzi bati ostalariaren pribilegio zabalak ematea galdera saihesteko, hamar minutu jabe zuzena identifikatzen igarotzea baino truke okerragoa da.

Jakizu zer kostatzen duen etengailuak, piztu aurretik

ip_forward ez da boolear kaltegabe bat. Nukleoaren dokumentazioak ohartarazten du haren aldaketak beste IPv4 parametro batzuk ostalari edo bideratzaile lehenespenetara berrezartzen dituela, beraz diagnostiko-aldaketa batek beste nonbait ezarritako doikuntza bazter dezake eta inoiz ez aipatu. Konfigurazio-aldaketa bat bezala tratatu, albo-ondorioekin, lasai exekuta dezakezun proba bat bezala beharrean.

Horrek ere baztertzen du bezero batek ostalari bat lortu ezin duen bakoitzean itzali eta piztea. Balioa jada bat bada, hutsegitea bidearen beste puntu batean dago, eta gako bera hirugarren aldiz berridazteak ez du mugituko.

Frogatu iraunkortasuna, eta gero probatu bidearen gainerakoa

Irakurri balioa atzera lau unetan: aldaketaren ostean berehala, VPN interfazea agertu ondoren, berriz konektatu ondoren eta aurreikusitako berrabiarazte baten ondoren. Une horietako edozeinetan atzera egiten duen balioak bigarren jabe bat du, eta beste idazketa puntual batek hurrengo berrabiaraztera arte baino ez du ezkutatzen.

Birbidalketa gaituta egonda ere hiru gauza geratzen dira egiaztatzeko. Bezeroak helmugara bide bat behar du, atebideak aurrerako bide bat gehi hura erabiltzeko baimena, eta helmugak bezeroaren tunel helbidera itzultzeko bide bat. Bideratutako LAN pribatu batek ez du automatikoki NAT behar, beraz ez gehitu masquerading hiruretatik zein falta den jakin aurretik, eta probatu xede den bezeroetik atebidetik bertatik beharrean, atebidean sortutako eskaera batek inoiz ez baitu ukitzen piztu berri duzun birbidalketa-bidea. IPv6k bere birbidalketa eta bideratze politika du, beraz funtzionatzen duen IPv4 proba batek ez du haren berri ezer esaten.

Eduki elkarrekin runbookean drop-in bidea, izen-espazioaren jabea eta atzera irakurtzeko komandoa. Hauxe ondoren hartzen duenak balioa irakurri, nor den jabe ikusi eta minutu batean erabaki behar du arazoa iraunkortasuna den edo bidearen gainerakoa den.