Linux-VPN-Antwerten verschwannen? Kontrolléiert rp_filter an d'Route

Ufroen verloossen d'Maschinn, de VPN-Peer äntwert, an d'Äntwert erreecht ni de Socket. Den Tunnel steet, d'Loge vum Peer weisen, datt de Paket geschéckt gëtt, an näischt an der Applikatioun erkläert d'Stëllt. Op Linux ass eng vun de gewéinleche Verdächtegen d'Reverse-Path-Filterung: en agehende IPv4-Paket kann verworf ginn, wann d'Quellvalidéierung net mat der Route iwwerenee kënnt, déi de Kernel fir déi Quell erwaart. Et der Rei no duerchzegoen seet Iech, ob dat d'Ursaach ass oder eng Coincidence. Et hält Iech och dovun of, eng Sécherheetskontroll auszeschalten, fir eng fehlend Route ze flécken.

Wat d'Quellvalidéierung entscheet

De Kernel iwwerpréift, ob d'Quelladress vun engem Paket fir deene Interface plausibel ass, op deem et ukomm ass, andeem en d'Routingstabell no enger Route zréck zu där Quell consultéiert. Wann d'Ëmwee-Route soss engem aner Plaz weist, kann de Paket fale gelooss ginn, ier eng Firewall-Reeg oder en Applikatiouns-Socket en gesäit. Déi Kontroll existéiert, fir bestëmmte Spoofing-Muster schwéier ze maachen, an dofir stoussen asymmetresch a policy-routed Designen dorobber, während all gewéinleche Client am selwechte Netz gutt funktionéiert. Gewéinlech Clienten hu symmetresch Routing, a genee dat setzt d'Kontroll viraus.

Dat wichtegt Wuert ass plausibel. De Paket kann komplett legitim sinn an trotzdem d'Kontroll net bestoen, well et net d'Legitimitéit ass, déi getest gëtt.

Liest den effektive Modus, net ee Felt

Et gëtt dräi Modi: ausgeschalt, streng a lass. Streng imposéiert eng aner Route-Erwaardung wéi lass, an d'global Astellung interagéiert mat deenen pro Interface, dofir kann ee Fichier liesen dat, wat tatsächlech gëllt, falsch beschreiwen. Liest béides, a liest se op deem Interface, wat d'Äntwert kritt, net op deem vun der Standardroute.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

De Route-Lookup an där drëtter Linn ass deen Deel, deen d'Leit iwwersprangen. En seet Iech, wat de Kernel iwwer d'Quell mengt, an dat ass genee den Input vun der Kontroll.

Fannt d'Onstëmmegkeet, ier Dir d'Kontroll ännert

Fannt eraus, firwat d'Äntwert op deem Interface ukomm ass an ob seng Ëmwee-Route anescht soll sinn. Eng Policy-Reeg, déi Ufroen iwwer ee Wee erausschéckt, während Äntwerten iwwer een aneren zréckkommen, ass e legitimen Design, an et ass och deen Design, deen déi streng Validéierung refuséiert. Marques, déi am Policy-Routing benotzt ginn, kënnen hei och wichteg sinn, well se änneren, wat de Réck-Lookup zréckgëtt.

Wann d'Ëmwee-Route einfach feelt, fléckt d'Dobäisetzen d'Ursaach, amplaz eng Kontroll auszeschalten. Eng fehlend Route, eng Firewall-Refusatioun an e falsche Traffic-Selector produzéieren alleguer dee selwechte sichtbaren Symptom, a just eng dovun ass iwwer d'Quellvalidéierung.

Schalt Quellkontrollen net global aus als éischt Reaktioun. Dat tauscht eng konkret Diagnos géint eng breet Verhalensännerung, un déi Dir Iech méi spéit musst erënneren.

Eng selektiv Upassung, déi Dir ka verdeedegen

Wann eng enk Upassung wierklech noutwenneg ass, begränzt se op den Interface, deen se brauch, schreift op firwat, a setzt se an d'Konfiguratioun, déi deene Interface gehéiert, soudatt se en Neistart iwwerlieft. Test dann genee dee Floss nach eng Kéier, deen feelgeschloe huet, vun der selwechter Quell op dat selwecht Zil, amplaz e Ping op eppes Bequemes.

Setzt e Fall dobäi, deen nach ëmmer sollt refuséiert ginn. Wann dee Fall elo geléngt, huet d'Upassung méi geschwächt wéi deen engen Wee, deen Dir wëllt flécken.

Halt IPv4 an IPv6 getrennt

En vertraute sysctl ass keng Politik fir all Adressfamill. IPv6 huet säin eegene Verhalen a seng eegen Astellungen, an eng Maschinn kann an enger Famill streng a bei der anerer nozeg sinn, ouni datt et iergendeen opfält, bis eng bestëmmt Destinatioun feelt. Kontrolléiert béides, wann d'Wueschtbelaaschtung béides benotzt.

Schreift de Modus, den Interface, d'Ausgab vum Route-Lookup an de Grond vun der Ännerung op eng Plaz. Déi nächst Persoun fënnt d'Astellung an keng Erklärung, an entweder hëlt se eraus oder kopéiert se dohinner, wou se net gehéiert.