Miért hagyja el a VPN-interfész újra és újra a firewalld zónáját

Hozzáadja a tun0-t a megfelelő zónához, az alkalmazás működni kezd, és a javítás a következő újracsatlakozáskor elpárolog. Ugyanannak a parancsnak az ismételt futtatása működik, amitől úgy tűnik, mintha a firewalld elfelejtette volna. Nem felejtette el; valami erősebb igénnyel erre az interfészre újra hozzárendelte.

A zóna addig marad, amíg az interfész újra nem jön létre

Egy interfész firewalld-zónához rendelése kötés, a kötések pedig ahhoz az interfészobjektumhoz kapcsolódnak, ahogy az most létezik. Az a VPN-kliens, amely lebontja az eszközt és újra létrehozza, új objektumot állít elő, és az új onnan indul, amit a hozzárendelő komponens mond. Ezért ismétlődik a tünet minden újracsatlakozáskor, és nem minden csomagnál.

Ugyanez a logika magyarázza az újraindítás viselkedését: a futásidejű kötések nem élik túl az újraindítást, az állandó kötések pedig csak azokra az eszközökre érvényesek, amelyeket a firewalld a sajátjának hisz.

Mielőtt bármit megváltoztatna, derítse ki, melyik komponens rendeli hozzá a zónát.

Olvasson el három dolgot, mielőtt bármit megváltoztat

Jegyezze fel az interfész jelenlegi zónáját, az aktív zónákat az interfészeikkel, és a szándékolt zóna állandó interfészlistáját. Futtassa ezeket a lekérdezéseket a változtatás előtt, egy újracsatlakozás után és egy újraindítás után. A három eredmény összehasonlítása megmondja, hogy a kötés helyettesítődik, figyelmen kívül marad, vagy csak késve érvényesül. Ha az állandó lista már megnevezi az eszközt, miközben a futásidejű zóna nem ért egyet, valami felülírja a szerkesztését.

Minden lépésnél jegyezze fel az eszköz tényleges nevét is, mert egy alagút, amely ma a tun0-ra érkezik, holnap a tun1-re érkezhet.

Egy általános névhez mentett kötés nem identitásellenőrzés, és két perc jegyzetelés egy óra találgatást takarít meg.

Amikor a NetworkManager birtokolja a kapcsolatot

Ha a NetworkManager kezeli a VPN-kapcsolatot, a profilja hordozza a zónát, és átadja a firewalldnak, amikor a kapcsolat aktiválódik. Egy állandó firewalld-interfészkötés ugyanahhoz az eszközhöz ilyenkor figyelmen kívül maradhat, mert a tulajdonos a NetworkManager. Állítsa be a zónát a kapcsolaton, és erősítse meg, hogy a VPN-profilt szerkeszti, nem egy kapcsolódó fizikai kapcsolatot vagy ideiglenes rekordot.

A tulajdonság módosítása azonnal hathat egy aktív kapcsolatra.

Tartson elérhetően egy kezelési útvonalat, és olvassa el a célzóna szabályzatát, mielőtt alkalmazza. Az ifcfg-fájl ZONE mezőjének szerkesztése csak ott helyes, ahol az a fájl még a konfiguráció forrása.

Amikor a firewalld birtokolja a kötést

Egy szándékosan stabil interfésznevű, önálló alagútnál az állandó interfészváltozás a megfelelő eszköz. Alkalmazza a telepítése által használt újratöltésen vagy életcikluson keresztül, majd vizsgálja meg a futásidejű állapotot, mert a csak állandó szerkesztés a szándékot írja le, nem azt, ami aktív. A kettő addig térhet el egymástól, ameddig az újratöltés tart.

Ha az interfész neve dinamikus, tartsa fenn a hozzárendelést a kapcsolat életciklusa alatt, ahelyett hogy versenyezne azzal az alagúttal, amely először igényli a nevet.

Ne dobja az interfészt a trusted zónába csak azért, hogy az alkalmazás működjön.

Tesztelje az újratöltést, az újracsatlakozást és az újraindítást

Egy változtatás csak akkor kész, ha mindhármat túléli.

Először töltsön újra, mert ott tűnnek el a csak futásidejű szerkesztések. Aztán csatlakoztassa újra az alagutat, mert ott veszíti el a helyettesített interfész a kötését. Aztán indítsa újra, mert ott jelenik meg végre a tulajdonos eltérése. Minden szakaszban jegyezze fel a zónát, és hasonlítsa össze a leírt szándékkal, és jegyezze meg, melyik lépés okozta az eltérést.

Ha a zóna helyes, és az alkalmazás mégis meghiúsul, a probléma a zóna szabályaiban vagy a forrásalapú besorolásban van, nem a tagságban. A firewalld dokumentációja a kapcsolatokról és interfészekről a hivatkozás arra, hogyan kellene a tulajdonjognak működnie.

Írja be a tulajdonost, az értéket és a várható eredményt a runbookba, és a következő újrahozzárendelés magyarázható lesz.