Eltűnnek a Linux VPN válaszai? Ellenőrizze az rp_filtert és az útvonalat

A kérések elhagyják a gépet, a VPN-partner válaszol, és a válasz soha nem ér el a sockethez. Az alagút él, a partner naplói mutatják a csomag elküldését, és semmi sem magyarázza a csendet az alkalmazásban. Linuxon az egyik szokásos gyanúsított a fordított útvonal szűrése: egy bejövő IPv4-csomag elutasítható, ha a forrásellenőrzés nem egyezik azzal az útvonallal, amelyet a kernel az adott forráshoz vár. Ha sorban végigmegy rajta, megtudja, hogy ez az ok vagy véletlen. Arra is megtartja, hogy ne kapcsoljon ki egy biztonsági ellenőrzést egy hiányzó útvonal javítása érdekében.

Mit dönt el a forrásellenőrzés

A kernel ellenőrzi, hogy a csomag forráscíme hihető-e ahhoz az interfészhez, amelyen megérkezett, az útválasztási táblából kikeresve az adott forráshoz vezető visszautat. Ha a fordított útvonal máshova mutat, a csomag még azelőtt eldobható, hogy bármely tűzfal-szabály vagy alkalmazás-socket látná. Ez az ellenőrzés azért létezik, hogy bizonyos hamisítási mintákat nehezebbé tegyen, és ezért futnak bele az aszimmetrikus és házirend-alapú útválasztású tervek, miközben minden hétköznapi kliens ugyanazon a hálózaton jól működik. A hétköznapi kliensek szimmetrikus útválasztással rendelkeznek, és pontosan ezt feltételezi az ellenőrzés.

A fontos szó a hihető. A csomag teljesen legitim lehet, és mégis elbukhat az ellenőrzésen, mert nem a legitimitást vizsgálják.

A tényleges módot olvassa, ne egy mezőt

Három mód létezik: letiltott, szigorú és laza. A szigorú más útvonal-elvárást támaszt, mint a laza, és a globális beállítás együtt hat az interfészenkéntiekkel, ezért egyetlen fájl olvasása félreírhatja azt, ami valójában érvényben van. Olvassa mindkettőt, és azon az interfészen olvassa őket, amely a választ fogadja, ne az alapértelmezett útvonal interfészén.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

A harmadik sor útvonalkeresése az a rész, amelyet az emberek kihagynak. Megmondja, mit gondol a kernel a forrásról, és ez pontosan az ellenőrzés bemenete.

Találja meg az eltérést, mielőtt módosítja az ellenőrzést

Derítse ki, miért érkezik a válasz azon az interfészen, és hogy a fordított útvonalának eltérőnek kell-e lennie. Egy házirend-szabály, amely a kéréseket az egyik úton küldi ki, míg a válaszok egy másikon térnek vissza, legitim terv, és pontosan ezt a tervet utasítja el a szigorú ellenőrzés. A házirend-alapú útválasztásban használt jelölések itt is számíthatnak, mert megváltoztatják, mit ad vissza a fordított keresés.

Ha a fordított útvonal egyszerűen hiányzik, a hozzáadása az okot javítja, nem pedig kikapcsol egy ellenőrzést. A hiányzó útvonal, a tűzfal elutasítása és a rossz forgalomválasztó mind ugyanazt a látható tünetet okozza, és csak az egyikük szól a forrásellenőrzésről.

Ne kapcsolja ki a forrásellenőrzéseket globálisan első reakcióként. Ez egy konkrét diagnózist cserél egy széles viselkedésváltozásra, amelyre később emlékeznie kell.

Szelektív módosítás, amelyet meg tud védeni

Ha egy szűk módosítás valóban szükséges, korlátozza arra az interfészre, amelynek szüksége van rá, írja le, miért, és tegye abba a konfigurációba, amely az adott interfész tulajdonosa, hogy túlélje az újraindítást. Utána tesztelje újra pontosan azt a folyamatot, amely elbukott, ugyanabból a forrásból ugyanabba a célba, nem pedig egy pinget valami kényelmes dologra.

Vegyen bele egy esetet, amelynek továbbra is elutasítottnak kell maradnia. Ha ez az eset most sikerül, a módosítás többet gyengített, mint az az egy útvonal, amelyet javítani akart.

Tartsa külön az IPv4-et és az IPv6-ot

Egy ismerősnek tűnő sysctl nem házirend minden címcsaládra. Az IPv6-nak saját viselkedése és saját beállításai vannak, és egy gép lehet szigorú az egyik családban és engedékeny a másikban, anélkül hogy bárki észrevenné, amíg egy adott cél nem hibázik. Ellenőrizze mindkettőt, ha a terhelés mindkettőt használja.

Rögzítse a módot, az interfészt, az útvonalkeresés kimenetét és a változtatás okát egy helyen. A következő ember megtalálja a beállítást és semmilyen magyarázatot, és vagy eltávolítja, vagy átmásolja oda, ahová nem való.