Ferdwine de antwurden fan Linux VPN? Kontrolearje rp_filter en de rûte

Oanfragen ferlitte de masine, de VPN-partner antwurdet, en it antwurd berikt nea de socket. De tunnel is omheech, de logboeken fan de partner litte sjen dat it pakket ferstjoerd wurdt, en neat yn 'e applikaasje ferklearret de stilte. Op Linux is ien fan 'e gewoane fertochten it filterjen fan it weromwei: in ynkommend IPv4-pakket kin wegere wurde as de boarnefalidaasje net oerienkomt mei de rûte dy't de kearn foar dy boarne ferwachtet. It yn folchoarder trochrinne fertelt jo oft dat de oarsaak is of in tafal. It hâldt jo ek tsjin om in feilichheidskontrôle út te skeakeljen om in ûntbrekkende rûte te reparearjen.

Wat de boarnefalidaasje beslút

De kearn kontrolearret oft it boarneadres fan in pakket leauweardich is foar it ynterface wêr't it oankaam, troch de rûteringstabel te rieplachtsjen foar in rûte werom nei dy boarne. As de weromrûte earne oars hinne wiist, kin it pakket ferlern gean foardat in firewall-regel of in applikaasje-socket it sjocht. Dy kontrôle bestiet om beskate spoofing-patronen dreger te meitsjen, en dêrom rinne asymmmetryske en policy-rûtearre ûntwerpen der tsjin oan, wylst elke gewoane klant yn itselde netwurk goed wurket. Gewoane klanten hawwe symmmetryske rûtering, en dat is krekt wat de kontrôle ferûnderstelt.

It wichtige wurd is leauweardich. It pakket kin folslein legitime wêze en dochs de kontrôle net helje, om't it net om legitimiteit giet.

Lês de effektive modus, net ien fjild

Der binne trije modi: útskeakele, strang en los. Strang stelt in oare rûteferwachting as los, en de globale ynstelling wurket gear mei dy per ynterface, dat it lêzen fan ien bestân kin ferkeard beskriuwe wat feitlik jildt. Lês beide, en lês se op it ynterface dat it antwurd ûntfytst, net op it ynterface fan 'e standertrûte.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

It rûtesykjen yn dy tredde rigel is it diel dat minsken oerslaan. It fertelt jo wat de kearn oer de boarne tinkt, en dat is krekt de ynfier fan 'e kontrôle.

Fyn de misferhâlding foardat jo de kontrôle feroarje

Wurkje út wêrom't it antwurd op dat ynterface oankomt en oft syn weromrûte oars wêze moat. In beliedsregel dy't oanfragen oer ien paad útskeakelt wylst antwurden oer in oar weromkomme is in legitime ûntwerp, en it is ek it ûntwerp dat strange falidaasje wegeret. Markearrings dy't yn policy-rûtering brûkt wurde kinne hjir ek fan belang wêze, om't se feroarje wat it weromsykjen weromjout.

As de weromrûte gewoan ûntbrekt, dan reparearret it tafoegjen de oarsaak ynstee fan in kontrôle út te skeakeljen. In ûntbrekkende rûte, in firewall-wegering en in ferkearde ferkearsselektor jouwe allegear itselde sichtbere symptoom, en mar ien fan harren giet oer boarnefalidaasje.

Skeakelje boarnekontrôles net globaal út as earste reaksje. Dat ruilet in spesifike diagnoaze foar in brede gedrachsferoaring dy't jo letter ûnthâlde moatte.

In selektive oanpassing dy't jo ferdigenje kinne

As in nauwe oanpassing echt nedich is, beheinje dy ta it ynterface dat it nedich hat, skriuw op wêrom, en set dy yn 'e konfiguraasje dy't dat ynterface besit, sadat it in werstart oerlibbet. Testje dêrnei wer de krekte stream dy't mislearre, fan deselde boarne nei deselde bestimming, ynstee fan in ping nei eat handichs.

Foegje in gefal ta dat noch wegere wurde moat. As dat gefal no slagget, hat de oanpassing mear ferswakke as it iene paad dat jo reparearje woene.

Hâld IPv4 en IPv6 apart

In fertroud útsjende sysctl is gjin belied foar elk adresfamylje. IPv6 hat syn eigen gedrach en syn eigen ynstellings, en in masine kin strang wêze op 'e iene famylje en toljittend op 'e oare sûnder dat immen it merkt oant in beskaat bestimming mislearret. Kontrolearje beide as de wurklêst beide brûkt.

Skriuw de modus, it ynterface, de útfier fan it rûtesykjen en de reden fan 'e feroaring op ien plak. De folgjende persoan fynt de ynstelling en gjin ferklearring, en sil dy óf fuortsmite óf kopiearje nei in plak dêr't dy net heart.