Zašto vaše VPN sučelje stalno napušta svoju firewalld zonu

Dodate tun0 u pravu zonu, aplikacija počne raditi, a ispravak ispari pri sljedećem ponovnom povezivanju. Ponovno pokretanje iste naredbe radi, zbog čega izgleda kao da je firewalld zaboravio. Nije zaboravio; nešto s jačim pravom na to sučelje dodijelilo ga je iznova.

Zona preživi dok se sučelje ne stvori iznova

Dodjela firewalld zone sučelju je vezivanje, a vezivanja su vezana uz objekt sučelja u obliku u kojem sada postoji. VPN klijent koji razgradi uređaj i ponovno ga stvori proizvodi nov objekt, a novi počinje od onoga što kaže komponenta koja dodjeljuje. Zato se simptom ponavlja pri svakom ponovnom povezivanju, a ne pri svakom paketu.

Ista logika objašnjava ponašanje pri restartu: runtime vezivanja ne prežive restart, a trajna vezivanja vrijede samo za uređaje za koje firewalld vjeruje da ih posjeduje.

Prije nego što išta promijenite, otkrijte koja komponenta dodjeljuje zonu.

Pročitajte tri stvari prije nego što išta promijenite

Zabilježite zonu koju sučelje trenutačno ima, aktivne zone s njihovim sučeljima i trajni popis sučelja za zonu koju namjeravate. Pokrenite te upite prije promjene, nakon ponovnog povezivanja i nakon restarta. Usporedba triju rezultata pokazuje zamjenjuje li se vezivanje, zanemaruje ili samo primjenjuje prekasno. Ako trajni popis već navodi uređaj, a runtime zona se ne slaže, nešto nadjačava vašu izmjenu.

Bilježite i stvarni naziv uređaja na svakom koraku, jer tunel koji danas sleti na tun0 sutra može sletjeti na tun1.

Spremljeno vezivanje uz opći naziv nije provjera identiteta, a dvije minute bilježenja štede sat nagađanja.

Kada NetworkManager posjeduje vezu

Ako NetworkManager upravlja VPN vezom, njegov profil nosi zonu i predaje je firewalldu kada se veza aktivira. Trajno vezivanje sučelja u firewalldu za isti uređaj tada može biti zanemareno, jer je vlasnik NetworkManager. Postavite zonu na vezu i potvrdite da uređujete VPN profil, a ne nepovezanu fizičku vezu ili privremeni zapis.

Promjena tog svojstva može odmah utjecati na aktivnu vezu.

Držite put upravljanja dostupnim i pročitajte pravila odredišne zone prije primjene. Uređivanje polja ZONE u ifcfg datoteci ispravno je samo tamo gdje je ta datoteka još izvor konfiguracije.

Kada firewalld posjeduje vezivanje

Za samostalan tunel s namjerno stabilnim nazivom sučelja trajna promjena sučelja pravi je alat. Primijenite je kroz reload ili životni ciklus koji koristi vaše postavljanje, zatim pregledajte runtime stanje, jer izmjena samo u trajnim postavkama opisuje namjeru, a ne ono što je aktivno. Njih dvoje mogu se razilaziti sve dok traje reload.

Ako je naziv sučelja dinamičan, održavajte dodjelu kroz životni ciklus veze umjesto da se utrkujete s tunelom koji prvi zauzme naziv.

Ne bacajte sučelje u trusted samo da bi aplikacija proradila.

Testirajte reload, ponovno povezivanje i restart

Promjena je gotova tek kada preživi sva tri.

Prvo reloadajte, jer tu nestaju izmjene samo u runtimeu. Zatim ponovno povežite tunel, jer tu zamijenjeno sučelje gubi svoje vezivanje. Zatim restartajte, jer tu se konačno pokaže nesklad vlasnika. Bilježite zonu u svakoj fazi i usporedite je s namjerom koju ste zapisali, i zabilježite koji je korak proizveo razliku.

Ako je zona ispravna, a aplikacija ipak ne radi, problem je u pravilima zone ili u klasifikaciji po izvoru, a ne u članstvu. firewalld dokumentacija o vezama i sučeljima referenca je za to kako bi vlasništvo trebalo raditi.

Zapišite vlasnika, vrijednost i očekivani rezultat u runbook, i sljedeća će dodjela biti objašnjiva.