Maacht datt IPv4-Weiderleedung en Neistart vum VPN-Gateway iwwersteet

De Ping op de Gateway funktionéiert, awer bei eppes dohannert ze kommen net, an dat ass d'Form vun engem Weiderleedungsproblem an net vun engem Tunnelproblem. D'lokal Liwwerung un de Gateway beweist datt den Tunnel eropkomm ass an d'Adressverdeelung funktionéiert huet; et seet näischt driwwer, ob de Kernel e Pak vun enger Interface op déi aner duerchléisst. Ier Dir un enger sysctl säi rührt, bestätegt datt d'Maschinn geduecht ass dësen Trafic ze routen an fannt de Netzwierkkontext deen d'Interface Richtung Client hält. Liest dann de Wäert do, an net do wou de leschte Guide deen Dir geliest hutt zoufälleg gekuckt huet.

De Gateway erreechen ass net datselwecht wéi weiderleeden

Bannen am Kernel falen zwou getrennte Entscheedungen. D'Liwwerung un eng lokal Adress mécht d'Rees vum Pak fäerdeg; d'Weiderleedung schéckt et nees duerch eng aner Interface eraus, an déi zweet Entscheedung gëtt pro Netzwierk-Nummraum geregelt. E Gateway kann komplett erreechbar sinn wärend d'Weiderleedung aus ass, an aus enger Ping-Input gesinn déi zwou Feeler identesch aus.

Schreift op op wéi enger Interface de Clientpak ukommt an duerch wéi eng Interface de weidere Wee erausgeet. Béid gehéieren zu engem Nummraum, an deen Nummraum hält d'Astellung op déi et ukënnt.

Liest de Wäert do wou d'Pakten tatsächlech sinn

Op engem Gateway deen am Host-Nummraum routet, äntwert een eenzegen Uerder op d'Fro: sysctl net.ipv4.ip_forward. Wann de Bannes- a weidere Wee an engem benannten Nummraum liewen, frot deen Nummraum: ip netns exec vpn-gw sysctl net.ipv4.ip_forward. Den Host-Wäert ass keen Ersatz fir den Nummraum-Wäert, an eng Eent um Host ass kee Beweis fir näischt.

Net all Routing-Kontext huet eng Etikett déi Dir un ip netns kënnt ginn. Container-Runtime an Déngschter schafen Nummräm déi ni ënner engem frëndlechen Numm registréiert ginn, an fir déi benotzt Dir d'Inspektiounsinstrumenter vum Runtime. Ersetzt vpn-gw duerch den echte Numm, oder duerch de Runtime-Mechanismus deen dee selwechte Kontext erreecht, a stoppt op Host-Niveau ze roden.

Gitt der Astellung een eenzegen Eegentumer

Op engem konventionelle systemd-Host-Gateway ass déi dauerhaft Form eng drop-in-Datei mat engem vum Administrateur gewielten Numm wéi /etc/sysctl.d/60-vpn-forwarding.conf, déi net.ipv4.ip_forward = 1 enthält. Schreift d'Datei, a lued dann genee déi Datei sou datt och de Lievestatus ännert: sudo sysctl -p /etc/sysctl.d/60-vpn-forwarding.conf, gefollegt vun engem Zréckliese. Den Dateinumm ass e Beispill an net e reservéierte VPN-Pad, an déi féierend Zuel zielt well méi spéit sortéiert Dateien gewannen.

D'Prioritéit ass de Punkt wou Dauerhaftigkeit leise brécht. Iwwerpréift souwuel de Loader vun der Distributioun wéi och Ären eegenen drop-in, well procps sysctl --system am Schluss och /etc/sysctl.conf liest, wärend dem systemd seng sysctl.d-Reiefolleg eng ganz aner Sequenz ass. Eng méi spéit Zouschreiwung kann dee selwechte Schlëssel direkt zrécksetzen a léisst Är Datei korrekt an de wirksame Wäert falsch. Iwwerschreift keng existéierend Administrateur-Datei fir deem Sträit ze gewannen; fannt den Eegentumer a ännert et do.

En Nummraum deen nom Boot erstallt gëtt gëtt guer net vun engem Host-drop-in beherrscht. Seng Astellung gehéiert zu deem wat en erstallt, egal ob et de Container-Runtime oder d'Provisionéierungsunitéit fir den Nummraum ass. Engem Container breed Host-Privilegien ze ginn fir d'Fro z'ëmgoen ass en schlechten Tausch am Verglach mat zéng Minutten ze verbréngen fir den richtegen Eegentumer z'identifizéieren.

Wësst wat de Schalter kascht ier Dir hien ëmdréit

ip_forward ass keen harmlose Boolean. D'Kernel-Dokumentatioun bemierkt datt seng Ännerung verschidden aner IPv4-Parameter op hir Host- oder Router-Standardwäerter zrécksetzt, sou datt eng diagnostesch Ëmdréiung eng Tuning déi soss anzwousch gemaach gouf ewechgeheien kann ouni se je ze ernimmen. Behandelt et als Konfiguratiounsännerung mat Niewewierkungen an net als Sonde déi ee leichterhand ka lafen loossen.

Dat schléisst och aus et all Kéier aus- an unzeschalten wann e Client keen Host erreecht. Wann de Wäert schonn een ass, läit de Feeler soss anzwousch um Wee, an dee selwechte Schlëssel en drëtte Kéier ze schreiwen beweegt en net.

Beweist d'Dauerhaftigkeit, da test de Rescht vum Wee

Liest de Wäert op véier Momenter zréck: direkt no der Ännerung, nodeems d'VPN-Interface erschéngt, no enger Neiverbindung an no engem geplangten Neistart. E Wäert deen op engem vun deene Punkten zréckfält huet en zweeten Eegentumer, an nach eng eemol Schrëft versteet dat just bis zum nächsten Neistart.

Ageschalt Weiderleedung léisst nach dräi Saachen ze iwwerpréiwen. De Client brauch eng Route bis zum Zil, de Gateway brauch eng weider Route plus d'Erlabnes se ze benotzen, an d'Zil brauch en Zréckwee bis op d'Tunneladress vum Client. En private geroutete LAN brauch net automatesch NAT, also füügt keng Masquerading bäi ier Dir wësst wat vun den dräi feelt, a test vum virgesinnene Client amplaz vum Gateway selwer, well eng Ufro déi um Gateway entstanen ass de Weiderleedungswee deen Dir just ageschalt hutt ni beréiert. IPv6 dréit seng eege Weiderleedungs- a Routingpolitik, also seet en funktionéierende IPv4-Test näischt driwwer.

Halt de drop-in-Pad, den Eegentumer vum Nummraum an den Zréckliese-Uerder zesummen am Runbook. Wien dat nächst hëlt soll de Wäert kënne liesen, gesinn wiem en gehéiert, a bannent enger Minutt entscheeden ob de Problem d'Dauerhaftigkeit oder de Rescht vum Wee ass.