Mengapa antarmuka VPN Anda terus meninggalkan zona firewalld-nya

Anda menambahkan tun0 ke zona yang benar, aplikasi mulai bekerja, dan perbaikannya menguap pada penyambungan ulang berikutnya. Menjalankan perintah yang sama lagi berhasil, yang membuatnya tampak seperti firewalld lupa. Itu tidak lupa; sesuatu dengan klaim lebih kuat atas antarmuka itu menetapkannya ulang.

Zona bertahan sampai antarmuka dibuat ulang

Penetapan zona firewalld untuk sebuah antarmuka adalah pengikatan, dan pengikatan terikat pada objek antarmuka sebagaimana adanya sekarang. Klien VPN yang merobohkan perangkat dan membuatnya ulang menghasilkan objek baru, dan yang baru dimulai dari apa yang dikatakan komponen penetap. Itulah sebabnya gejala berulang pada setiap penyambungan ulang dan bukan pada setiap paket.

Logika yang sama menjelaskan perilaku saat reboot: pengikatan runtime tidak bertahan setelah restart, dan pengikatan permanen hanya berlaku untuk perangkat yang dianggap firewalld miliknya.

Sebelum mengubah apa pun, cari tahu komponen mana yang menetapkan zona.

Baca tiga hal sebelum mengubah apa pun

Catat zona yang dimiliki antarmuka sekarang, zona aktif beserta antarmukanya, dan daftar antarmuka permanen untuk zona yang Anda maksud. Jalankan kueri itu sebelum perubahan, setelah penyambungan ulang, dan setelah reboot. Membandingkan ketiga hasil memberi tahu Anda apakah pengikatan diganti, diabaikan, atau hanya diterapkan terlambat. Jika daftar permanen sudah menyebut perangkat sementara zona runtime tidak setuju, ada sesuatu yang mengalahkan suntingan Anda.

Catat juga nama perangkat yang sebenarnya pada setiap langkah, karena terowongan yang mendarat di tun0 hari ini bisa mendarat di tun1 besok.

Pengikatan tersimpan ke nama umum bukan pemeriksaan identitas, dan dua menit pencatatan menghemat satu jam dugaan.

Saat NetworkManager memiliki koneksi

Jika NetworkManager mengelola koneksi VPN, profilnya membawa zona dan meneruskannya ke firewalld saat koneksi aktif. Pengikatan antarmuka permanen firewalld untuk perangkat yang sama kemudian dapat diabaikan, karena NetworkManager adalah pemiliknya. Setel zona pada koneksi, dan pastikan Anda menyunting profil VPN dan bukan koneksi fisik yang tidak terkait atau catatan sementara.

Mengubah properti itu dapat memengaruhi koneksi aktif seketika.

Sediakan jalur manajemen dan baca kebijakan zona tujuan sebelum menerapkannya. Menyunting bidang ZONE pada berkas ifcfg hanya benar di tempat berkas itu masih menjadi sumber konfigurasi.

Saat firewalld memiliki pengikatan

Untuk terowongan mandiri dengan nama antarmuka yang sengaja stabil, perubahan antarmuka permanen adalah alat yang tepat. Terapkan melalui muat ulang atau siklus hidup yang dipakai penerapan Anda, lalu periksa keadaan runtime, karena suntingan hanya permanen menjelaskan niat, bukan apa yang aktif. Keduanya dapat berbeda selama waktu yang dibutuhkan untuk memuat ulang.

Jika nama antarmuka dinamis, pertahankan penetapan sepanjang siklus hidup koneksi alih-alih berlomba dengan terowongan mana pun yang mengklaim nama lebih dulu.

Jangan melempar antarmuka ke trusted hanya agar aplikasi bekerja.

Uji muat ulang, penyambungan ulang, dan reboot

Sebuah perubahan baru selesai ketika bertahan pada ketiganya.

Muat ulang dulu, karena di situ suntingan hanya-runtime menghilang. Lalu sambungkan ulang terowongan, karena di situ antarmuka yang diganti kehilangan pengikatannya. Lalu reboot, karena di situ ketidakcocokan pemilik akhirnya muncul. Catat zona pada setiap tahap dan bandingkan dengan niat yang Anda tulis, dan catat langkah mana yang menghasilkan perbedaan.

Jika zonanya benar dan aplikasi tetap gagal, masalahnya ada pada aturan zona atau klasifikasi berbasis sumber, bukan keanggotaan. Dokumentasi firewalld tentang koneksi dan antarmuka adalah rujukan tentang bagaimana kepemilikan seharusnya bekerja.

Tulis pemilik, nilai, dan hasil yang diharapkan ke runbook, dan penetapan ulang berikutnya akan dapat dijelaskan.