Cinntigh go bhfanann seoladh IPv4 seasmhach thar atosú geata VPN

Oibríonn pingiú an gheata agus ní oibríonn rochtain ar aon rud taobh thiar de, agus sin cruth fadhb seolta seachas fadhb tolláin. Cruthaíonn seachadadh áitiúil chuig an gheata go ndeachaigh an tollán suas agus gur oibrigh an t-atreorú seoladh; ní deir sé aon rud faoi cé acu a ligfidh an t-eithne paicéad ó chomhéadan amháin go comhéadan eile. Sula dteagmhaíonn tú le haon sysctl, deimhnigh go bhfuil an meaisín ceaptha an trácht seo a ródú agus aimsigh an comhthéacs líonra a choinníonn an comhéadan atá dírithe ar an gcliant. Ansin léigh an luach ansin, ní san áit a tharla go raibh an treoir dheireanach a léigh tú ag breathnú.

Ní hionann rochtain ar an geata agus seoladh

Tarlaíonn dhá chinneadh ar leithligh taobh istigh den eithne. Críochnaíonn seachadadh chuig seoladh áitiúil turas an phaicéid; seolann an seoladh amach arís é trí chomhéadan eile, agus rialaítear an dara cinneadh sin de réir spás ainmne líonra. Is féidir geata a bheith go hiomlán inrochtana agus an seoladh múchta, agus ó leid ping breathnaíonn an dá mhainneachtain mar an gcéanna.

Scríobh síos cén comhéadan a dtagann paicéad an chliaint isteach air agus cén comhéadan a dtéann an chonair ar aghaidh amach tríd. Baineann an dá cheann le haon spás ainmne amháin, agus is sa spás ainmne sin atá an socrú a bhfuil tábhacht leis.

Léigh an luach san áit a bhfuil na paicéid i ndáiríre

Ar gheata a ródann i spás ainmne an óstaigh, freagraíonn aon ordú amháin an cheist: sysctl net.ipv4.ip_forward. Nuair a chónaíonn an chonair isteach agus an chonair ar aghaidh i spás ainmne ainmnithe, fiafraigh den spás ainmne sin: ip netns exec vpn-gw sysctl net.ipv4.ip_forward. Ní ionadaí é luach an óstaigh do luach an spáis ainmne, agus ní cruthúnas ar rud ar bith é aon ar an óstach.

Níl lipéad ag gach comhthéacs ródaithe a thig leat a thabhairt do ip netns. Cruthaíonn timpeallachtaí rite coimeádán agus seirbhísí spásanna ainmne nach gcláraítear faoi ainm cairdiúil riamh, agus dóibh siúd úsáideann tú uirlisí iniúchta an timpeallachta rite. Cuir an fíor-ainm in ionad vpn-gw, nó an mheicníocht timpeallachta a shroicheann an comhthéacs céanna, agus stop ag buille faoi thuairim ag leibhéal an óstaigh.

Tabhair aon úinéir amháin don socrú

Ar gheata óstaigh traidisiúnta systemd, is é an fhoirm mharthanach comhad drop-in le hainm a roghnaíonn an riarthóir, mar /etc/sysctl.d/60-vpn-forwarding.conf, ina bhfuil net.ipv4.ip_forward = 1. Scríobh an comhad, ansin lódáil an comhad sainiúil sin ionas go n-athróidh an staid bheo freisin: sudo sysctl -p /etc/sysctl.d/60-vpn-forwarding.conf, agus athléamh ina dhiaidh. Is sampla é ainm an chomhaid seachas conair VPN chosanta, agus tá tábhacht leis an uimhir tosaigh mar go mbíonn an bua ag comhaid a shórtáiltear níos déanaí.

Is ag an tosaíocht a bhriseann marthanacht go ciúin. Seiceáil lódálaí an dáileacháin chomh maith le do drop-in féin, mar go léann procps sysctl --system /etc/sysctl.conf ag an deireadh freisin, agus is seicheamh iomlán difriúil é ord sysctl.d systemd. Is féidir le sannadh níos déanaí an eochair chéanna a chur ar ais go díreach, rud a fhágann do chomhad ceart agus an luach éifeachtach mícheart. Ná scríobh thar chomhad riarthóra atá ann cheana chun an argóint sin a bhuachan; aimsigh an t-úinéir agus athraigh ansin é.

Ní rialaítear spás ainmne a chruthaítear tar éis an tosaithe ag drop-in óstaigh ar chor ar bith. Baineann a shocrú leis an rud a chruthaíonn é, cibé acu timpeallacht rite na gcoimeádán nó an t-aonad soláthair don spás ainmne. Is drochmhalairt é pribhléidí óstaigh leathana a thabhairt do choimeádán chun an cheist a sheachaint ná deich nóiméad a chaitheamh ag aithint an úinéara cheart.

Bíodh a fhios agat cad a chosnaíonn an lasc sula gcasann tú í

Ní boolean neamhchoiscthe é ip_forward. Tugann doiciméadú na heithne faoi deara go n-athshocraíonn a athrú roinnt paraiméadar IPv4 eile chuig a réamhshocruithe óstaigh nó ródaire, mar sin is féidir le casadh diagnóiseach tiúin a cuireadh in áit eile a chaitheamh i leataobh gan trácht riamh air. Caith leis mar athrú cumraíochta a bhfuil fo-iarmhairtí aige seachas mar phromhadh is féidir a rith go fann.

Cuireann sé sin cosc freisin ar é a mhúchadh agus a lasadh gach uair nach féidir le cliant óstach a shroicheadh. Má tá an luach cheana féin ina aon, tá an locht in áit eile ar an gconair, agus ní bhogfaidh athscríobh na heochrach céanna an tríú huair é.

Cruthaigh marthanacht, ansin tástáil an chuid eile den chonair

Léigh an luach ar ais ag ceithre nóiméad: díreach tar éis an athraithe, tar éis don chomhéadan VPN teacht chun solais, tar éis athnascadh, agus tar éis atosú pleanáilte. Tá dara húinéir ag luach a fhillfidh ar ais ag aon cheann de na pointí sin, agus ní cheiltíonn scríobh aonuaire amháin eile é ach go dtí an chéad atosú eile.

Fágann seoladh cumasaithe trí rud fós le fíorú. Teastaíonn conair ón gcliant chuig an gceann scríbe, teastaíonn conair ar aghaidh ón geata móide cead chun í a úsáid, agus teastaíonn conair fillte ón gceann scríbe chuig seoladh tolláin an chliaint. Ní gá NAT go huathoibríoch do LAN príobháideach ródaithe, mar sin ná cuir masquerading leis sula mbeidh a fhios agat cé acu de na trí rud atá ar iarraidh, agus tástáil ón gcliant beartaithe seachas ón geata féin, mar nach dteagmhaíonn iarratas a thosaigh ar an geata riamh leis an gconair seolta a chumasaigh tú díreach. Tá a bheartas seolta agus ródaithe féin ag IPv6, mar sin ní deir tástáil IPv4 oibre aon rud faoi.

Coinnigh conair an drop-in, úinéir an spáis ainmne agus an t-ordú athléimh le chéile sa runbook. Ba chóir do dhuine ar bith a thógann seo an chéad uair eile an luach a léamh, a fheiceáil cé a shealbhaíonn é, agus cinneadh a dhéanamh laistigh de nóiméad an é an mharthanacht nó an chuid eile den chonair an fhadhb.