Fáth a gcaillfidh cliant VPN ar LAN na hoifige gach freagra

Tá ríomhaire glúine ar an /24 oifige thar Ethernet agus ceanglaíonn sé freisin le freastalaí OpenVPN a chónaíonn sa /24 céanna. Déanann comhghleacaí ping ar sheoladh an tolláin; tagann an t-iarratas go soiléir, agus ní fhilltear aon rud. Tá log an tolláin glan agus oibríonn an bhrabhsáil go fóill, mar sin is é an tollán an fhíor-amhras mícheart. Caitheann bailíochtú foinse IPv4 ar an meaisín a fhaigheann an paicéad amach sula léann aon rud é.

Tarlaíonn an caitheamh amach sula léann aon rud an paicéad

Cuireann bailíochtú foinse ceist amháin faoi gach paicéad isteach: dá dtabharfadh an t-óstach seo freagra don fhoinse sin, an bhfágfadh an freagra an comhéadan ar tháinig an paicéad isteach air? Nuair is é nea an freagra, caitheann an t-eithne an paicéad amach ar theacht dó. Ní fheiceann soicéad ná cosán aistrithe é riamh, agus is ar an ábhar sin a thaifeadann gabháil ar an tollán iarratas nach bhfaigheann an feidhmchlár riamh.

Tá 10.66.0.9 ag an gcliant anseo ar a thollán, agus freagraíonn an freastalaí OpenVPN ag 192.168.80.10 laistigh de réimír na hoifige. Déanann comhghleacaí ag 192.168.80.25 ping ar sheoladh an tolláin, mar sin trasnaíonn an t-iarratas an LAN, déanann an freastalaí é a ródú isteach sa tollán, agus sroicheann sé comhéadan tolláin an chliaint ag iompar seoladh foinse oifige. I dtábla ródaithe an mheaisín sin baineann réimír na hoifige leis an ngléas Ethernet, ní leis an tollán. Cuireann an bailíochtú an comhéadan teacht i gcomparáid leis an ród, aimsíonn sé neamhréir agus diúltaíonn sé don phaicéad, mar sin feiceann an comhghleacaí caillteanas iomlán agus an dá cheann ag tuairisciú tollán sláintiúil.

Tá an fhoirm chéanna ar an treo scatháin: nuair a thosaíonn an cliant i dtreo na hoifige, is féidir freagraí a chaitheamh amach ar thaobh na hoifige ar an gcúis chéanna. Is gnách go dtagann deisiú a fhíoraítear i dtreo amháin ar ais mar thicéad dara.

Cruthaigh an modh atá i bhfeidhm sula dtéann tú i dteagmháil le haon sysctl

Léigh na luachanna éifeachtacha seach a bheith ag brath ar réamhshocrú dáileacháin, mar níl sa socrú in aghaidh an chomhéadain ach leath an chinnidh. Is é an modh atá i bhfeidhm an ceann is airde de luach an chomhéadain agus luach all, mar sin ní chiallaíonn nialas ar chomhéadan an tolláin aon rud fad is atá all ina aon. Is cinneadh ródaithe é cinneadh an mhodha dhian, mar sin rith an chuardach a ritheann an t-eithne agus cuir a fhreagra i gcomparáid leis an gcomhéadan ar tháinig an paicéad air i ndáiríre.

tcpdump -ni tun0 icmp and host 192.168.80.25
ip route get 192.168.80.25
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.tun0.rp_filter

Ansin déan an ping a athrá agus tú ag féachaint ar an áiritheoir earráidí. Is é áireamh atá ag ardú le hais iarratais a thaispeánann an ghabháil cheana síniú an chaitheamh amach seo, ní síniú ród atá ar iarraidh. Cuir logáil Marsach ar siúl agus tú ansin, ionas go n-ainmneoidh an t-eithne an fhoinse agus an comhéadan ar dhiúltaigh sé dó. Le chéile eisiatar an tsifir, an balla dóiteáin agus iroute atá ar iarraidh mar mhínithe.

Scríobh an bhunlíne síos sula n-athraíonn tú aon rud: an dá luach, an gléas a roghnaigh an cuardach, agus an t-áiritheoir a bhreathnaigh tú. Is é an taifead sin a insíonn duit níos déanaí ar dhein an t-athrú an rud a cheapann tú.

Cad a ghlacann gach modh rp_filter i ndáiríre

Nochtann an t-eithne trí luach in aghaidh an chomhéadain, agus ní trí scáth atá iontu ar aon riail amháin. Díghníomhachtaíonn nialas an seiceáil. Tá a haon dian agus éilíonn sé go ródófaí an fhoinse amach ar ais tríd an gcomhéadan teacht. Tá a dó laga agus ní éilíonn sé ach go mbeadh ród éigin chuig an bhfoinse sa tábla, cibé áit a dtéann sé.

Is í an tsraith a bhfuil tábhacht léi anseo an ceann laga, agus an rud a dhiúltaíonn sé fós. Éiríonn le foinse bhréige atá inródaí áit ar bith i do thábla, agus diúltaítear fós d’fhoinse nach bhfuil aon ród aici. Ar ríomhaire glúine is lamháltas cúng é; ar ródaire a aistríonn tráchta do dhaoine eile is lamháltas leathan é. Baineann an modh leis an óstach, mar sin iompraíonn an uimhir chéanna meáchan difriúil sa dá áit.

Leanann sé ón tábla, ní ón nós, cén tsraith a theastaíonn ón topolaíocht seo. Tá an paicéad dlisteanach agus a fhoinse inródaí, mar sin glacann an ceann laga leis agus ní ghlacann an ceann dian. Ní éilíonn aon rud sa chás nialas, agus bhainfeadh rogha nialas seiceáil a chosnaíonn faic anseo.

Roghnaigh an t-athrú is lú a bhaineann an débhríocht

Is é an modh laga an t-athrú is lú a oireann, agus is laghdú fíor ar dhéine é, ní lasc neamhdhíobhálach. Bíonn rogha níos fearr ann aon uair a cheadaíonn an topolaíocht é: bain an forluí, agus imíonn an débhríocht.

Nuair nach bhfuil réimír na hoifige ag teastáil ach thar Ethernet, bain í ó na róid a tharraingíonn an phróifíl agus beidh an seoladh sroichte ar aon chonair amháin. Nuair is gá don dá chonair comhbheith i ndáiríre, pionnáil an fhoinse agus an gléas le riail bheartais seach bailíochtú a ligean níos scaoilte ar gach comhéadan. Coinníonn sé sin scagadh dian do gach rud eile ar an meaisín agus déanann sé an eisceacht a dhoiciméadú san áit a lorgóidh an chéad innealtóir eile í.

Cibé conair a roghnaíonn tú, taifead í i drop-in sysctl seach in ordú beo. Socraigh na heochracha all agus default le chéile, ionas nach féidir le hathcheangal an modh dian a athchóiriú go ciúin.

# /etc/sysctl.d/99-rp-filter.conf
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
sysctl --system

Cad a thugann an modh laga suas, agus cá

Diúltaíonn an modh laga fós d’fhoinse nach sroichfeadh aon ród, agus stopann sé ag diúltú d’fhoinse bhréige a bhíonn inródaí trí sheans. Ar ríomhaire glúine is lamháltas cúng é. Ar ghléas a aistríonn trácht nach leis féin é, tá an rogha chéanna i bhfad níos leithne. Mar sin iompraíonn an socrú céanna dhá chiall an-difriúla ag brath ar an áit a ritheann sé.

Is é an t-aon deisiú atá le seachaint ná an tseiceáil a mhúchadh go hiomlán ar óstach a aistríonn trácht do dhaoine eile. Caitheann nialas amach an bailíochtú a choinníonn an modh laga go cúramach. Má aistríonn an t-óstach do dhaoine eile, déan argóint ar son rogha na rialach beartais ón roinn roimhe seo ina áit.

Fág nóta a ainmníonn an dá chomhéadan, an réimír atá ag forluí agus an tástáil bheacht a n-éiríonn léi anois. Is úsáidí sin don chéad innealtóir eile ná líne a deir gur coigeartaíodh an scagadh.