Af hverju net.ipv4.conf.default.forwarding lætur tun0 í friði

Þú stilltir net.ipv4.conf.default.forwarding=1, endurræstir VPN, og göngin sleppa enn pakkum sem gáttin ætti að beina. Stillingin lítur rétt út í skránni, og tengið tilkynnir enn að framsending sé óvirk. Ekkert er bilað: þú breyttir gildinu sem framtíðartengi erfa, ekki því sem lifandi göngin nota.

Farðu í gegnum þetta á hýsilnum sem á göngin, í net-namespace-inu þar sem göngin eru í raun til. Gámur eða net-namespace getur haldið tenginu á meðan hýsillinn sýnir aðrar tölur.

Lestu gildin þrjú saman

Byrjaðu á að bera saman rofann fyrir alla gáttina, sniðmátið fyrir ný tengi og tengið sem þú hefur áhyggjur af. Skiptu tun0 út fyrir raunverulega innkomutengið og lestu líka afturtengið, því framsending er metin á þeim stað þar sem pakkinn berst.

sysctl net.ipv4.ip_forward
sysctl net.ipv4.conf.default.forwarding
sysctl net.ipv4.conf.tun0.forwarding

Algeng niðurstaða er ip_forward = 0, default.forwarding = 1 og tun0.forwarding = 0. Fyrstu tvö eru ósammála um hlutverk hýsilsins, og þriðja sýnir hvað tengið gerir í raun. Þessi samsetning passar við hýsil sem var aldrei stilltur sem beinir, heldur fékk aðeins sniðmátsgildi. Tölurnar þrjár stangast ekki á; þær svara þremur mismunandi spurningum. Að skrifa sniðmátsgildið ákveður heldur ekki hlutverk hýsilsins.

Af hverju það er almenna rofanum sem hreyfist

net.ipv4.ip_forward er stýringin fyrir alla gáttina. Að breyta honum uppfærir framsendingarstillingar fyrir hvert tengi sem hluta af sömu aðgerð, þess vegna getur ein skrif fengið fyrirliggjandi göng til að byrja að framsenda. default.forwarding sáir aðeins tengjum sem frumstilla eftir á, svo göng sem voru þegar til halda gildinu sem þau fæddust með.

Kjarnaskjölin merkja ip_forward sem sérstakt af tengdri ástæðu: að breyta því endurstillir hóp annarra IPv4 færibreytna í sjálfgefin gildi hýsils eða beinis. Það gerir það að sljóu tóli. Að stilla það einu sinni sem hluta af því að koma á hlutverki gáttarinnar er í lagi; að skipta því aftur og aftur sem kembiforritabragð getur hljóðlega skrifað yfir stillingar sem þú eyddir tíma í að fá réttar.

Gildi fyrir hvert tengi eru líka til af ástæðu. Gátt sem er stýrt af ásettu ráði getur haldið framsendingu óvirki á tengi sem ætti aldrei að beina, jafnvel þótt hýsillinn framsendi annars staðar. Þess vegna skiptir máli að lesa lifandi tengið og þess vegna er almenna gildið eitt og sér ekki allt svarið. Lestu slíka undantekningu sem meðvitaða ákvörðun og skrifaðu niður hvers vegna það tengi er öðruvísi. Annars mun næsti verkfræðingur "laga" það af hjálpsemi.

Gerðu stillinguna varanlega á réttum stað

Eitt heppilegt sysctl -w sannar að kjarninn samþykkir gildið. Það lifir ekki endurræsingu og lifir ekki netstjóra sem beitir aftur eigin hugmynd um stillingu tengisins við endurtengingu. Settu hlutverk gáttarinnar í sysctl-stillingarskrána eða í netstjórann sem á hýsilinn, og endurræstu síðan þjónustuna sem beitir henni.

Röð skiptir máli með göng. Ef stjórinn býr til tengið við ræsingu og beitir framsendingu eftir á, getur tengið erft gamla sjálfgefið. Endurræsing þjónustu sem endurskapar göngin er líka sköpunaratburður, og auðvelt er að missa af honum þegar einingin virðist heilbrigð. Athugaðu röðina, ekki bara endanlegt innihald skrárinnar.

Lestu sömu þrjú gildin aftur eftir að VPN tengist aftur og enn einu sinni eftir endurræsingu. Nýsköpuð göng eru nýtt tengi, og nýtt tengi tekur sjálfgefna gildið sem er í gildi við sköpunina. Ef tölurnar breytast á milli þessara atburða er stillingunni beitt af einhverju sem þú hefur ekki bent á enn.

Ekki laga þetta með röngu tóli

Þegar framsending leit út fyrir að vera biluð, er freistandi að tæma eldvegginn eða bæta við masquerading. Hvort tveggja tekur ekki á framsendingarrofanum. Staða framsendingar, leyfi til að framsenda, leið að áfangastað og afturleið eru fjögur aðskilin skilyrði, og aðeins hið fyrsta er sysctl.

Prófaðu líka með réttu flæði. Beiðni sem er gerð á gáttinni sjálfri æfir ekki framsendingu yfirleitt; það er umferð sem verður til á staðnum. Spurningin er hvort pakki sem kemur frá VPN-biðlara eða LAN-hýsli sé samþykktur og beint áfram, svo prófið verður að eiga uppruna sinn fyrir aftan gáttina.

Haltu IPv6-tilfellinu aðskildu

Hér er allt IPv4. Framsending IPv6, tilkynningar beinis og hegðun accept_ra hafa sínar eigin stýringar, og að afrita slóð ipv4 inn í stillingu ipv6 býr til skrá sem lítur trúverðug út og gerir ekkert gagnlegt. Gátt með tvöfaldan stafla þarf báða mengin meðvitað stillt.

Ein lokaprófun: þegar gildin stemma, staðfestu að leið ganganna sé valin fyrir áfangastaðinn og að svarleiðin sé til. Framsending virk á tengi án leiðar er enn svart hola, og það bilun lítur eins út frá sjónarhóli biðlarans.