Linux VPN-ի պատասխանները անհետանում են? Ստուգեք rp_filter-ը և երթուղին

Հարցումները լքում են մեքենան, VPN գործընկերը պատասխանում է, և պատասխանը երբեք չի հասնում սոքեթին։ Թունելը բարձրացված է, գործընկերի մատյանները ցույց են տալիս փաթեթի ուղարկումը, և հավելվածում ոչինչ չի բացատրում այս լռությունը։ Linux-ում սովորական կասկածյալներից մեկը հակադարձ ուղու զտումն է. մուտքային IPv4 փաթեթը կարող է մերժվել, երբ աղբյուրի ստուգումը չի համընկնում այն երթուղու հետ, որը միջուկը ակնկալում է այդ աղբյուրի համար։ Հերթականությամբ անցնելը ցույց է տալիս՝ դա պատճառն է, թե պատահականություն։ Այն նաև հետ է պահում անջատել անվտանգության հսկողությունը՝ բացակայող երթուղին շտկելու համար։

Ինչ է որոշում աղբյուրի ստուգումը

Միջուկը ստուգում է՝ արդյոք փաթեթի աղբյուրի հասցեն հավանական է այն ինտերֆեյսի համար, որով այն ժամանել է՝ դիմելով երթուղային աղյուսակին՝ այդ աղբյուրին վերադառնալու երթուղու համար։ Եթե հակադարձ երթուղին այլ տեղ է ուղղվում, փաթեթը կարող է դեն նետվել նախքան որևէ հրապատի կանոն կամ հավելվածի սոքեթ այն կտեսնի։ Այդ ստուգումը գոյություն ունի, որպեսզի որոշ կեղծման ձևեր ավելի դժվար դարձնի, և դա է պատճառը, որ ասիմետրիկ և քաղաքականությամբ երթուղավորված նախագծերը բախվում են դրան, մինչդեռ նույն ցանցի ցանկացած սովորական հաճախորդ լավ է աշխատում։ Սովորական հաճախորդներն ունեն սիմետրիկ երթուղավորում, և դա հենց այն է, ինչ ենթադրում է ստուգումը։

Կարևոր բառը հավանականն է։ Փաթեթը կարող է լիովին օրինական լինել և այնուամենայնիվ ձախողել ստուգումը, որովհետև օրինականությունը չէ, որ ստուգվում է։

Կարդացեք փաստացի ռեժիմը, ոչ թե մեկ դաշտ

Գոյություն ունեն երեք ռեժիմ՝ անջատված, խիստ և մեղմ։ Խիստը սահմանում է այլ երթուղային ակնկալիք, քան մեղմը, և գլոբալ կարգավորումը փոխազդում է ինտերֆեյսայինների հետ, ուստի մեկ ֆայլ կարդալը կարող է սխալ նկարագրել, թե ինչ է իրականում գործում։ Կարդացեք երկուսն էլ և կարդացեք դրանք այն ինտերֆեյսում, որն ընդունում է պատասխանը, ոչ թե լռելյայն երթուղու ինտերֆեյսում։

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Երրորդ տողի երթուղու որոնումը այն մասն է, որը մարդիկ բաց են թողնում։ Այն ասում է, թե ինչ է միջուկը կարծում աղբյուրի մասին, և դա հենց ստուգման մուտքն է։

Գտեք անհամապատասխանությունը՝ նախքան ստուգումը փոխելը

Պարզեք, թե ինչու է պատասխանը ժամանում այդ ինտերֆեյսով և արդյոք նրա հակադարձ երթուղին պետք է տարբերվի։ Քաղաքականության կանոնը, որը հարցումներն ուղարկում է մի ուղով, մինչ պատասխանները վերադառնում են մյուսով, օրինական նախագիծ է, և հենց այդ նախագիծն է, որ մերժում է խիստ ստուգումը։ Քաղաքական երթուղավորման մեջ օգտագործվող նշանները կարող են նշանակություն ունենալ նաև այստեղ, որովհետև դրանք փոխում են, թե ինչ է վերադարձնում հակադարձ որոնումը։

Եթե հակադարձ երթուղին պարզապես բացակայում է, դրա ավելացումը շտկում է պատճառը՝ ստուգումն անջատելու փոխարեն։ Բացակայող երթուղին, հրապատի մերժումը և սխալ երթևեկության ընտրիչը բոլորը տալիս են նույն տեսանելի ախտանիշը, և դրանցից միայն մեկն է աղբյուրի ստուգման մասին։

Առաջին արձագանքով մի անջատեք աղբյուրի ստուգումները գլոբալ։ Դա կոնկրետ ախտորոշումը փոխանակում է լայն վարքագծային փոփոխության հետ, որը հետո պետք է հիշեք։

Ընտրովի կարգավորում, որը կարող եք պաշտպանել

Եթե նեղ կարգավորում իսկապես անհրաժեշտ է, սահմանափակեք այն ինտերֆեյսով, որին դա պետք է, գրեք պատճառը և տեղադրեք այն այդ ինտերֆեյսին պատկանող կոնֆիգուրացիայում, որպեսզի այն վերագործարկումից հետո մնա։ Ապա կրկին ստուգեք հենց այն հոսքը, որը ձախողվեց՝ նույն աղբյուրից նույն նպատակակետ, այլ ոչ թե ping ինչ-որ հարմար բանի։

Ներառեք դեպք, որը պետք է մերժվի դեռ։ Եթե այդ դեպքը հիմա հաջողվում է, կարգավորումը թուլացրել է ավելին, քան այն մեկ ուղին, որը ցանկանում էիք վերանորոգել։

Առանձնացրեք IPv4-ը և IPv6-ը

Ծանոթ տեսք ունեցող sysctl-ը քաղաքականություն չէ յուրաքանչյուր հասցեների ընտանիքի համար։ IPv6-ն ունի իր վարքագիծը և իր կարգավորումները, և մեքենան կարող է խիստ լինել մի ընտանիքում և զիջող՝ մյուսում, առանց որևէ մեկը նկատի, մինչև որոշակի նպատակակետ չձախողվի։ Ստուգեք երկուսն էլ, եթե ծանրաբեռնվածությունն օգտագործում է երկուսը։

Գրանցեք ռեժիմը, ինտերֆեյսը, երթուղու որոնման ելքը և փոփոխության պատճառը մեկ տեղում։ Հաջորդ մարդը կգտնի կարգավորումը և ոչ մի բացատրություն, և կա՛մ կհեռացնի այն, կա՛մ կպատճենի այնտեղ, որտեղ դրա տեղը չէ։