Firwat ären ëffentlechen Linux-Service iwwer d’VPN äntwert

Näischt am Socket erënnert sech drun, wéi en Interface d’Ufro transportéiert huet, dofir kann eng Standardroute vun enger Volltunnel-VPN eng Äntwert afänken, déi op d’WAN gehéiert. De Service ignoréiert den Inbound-Interface net; Linux routet eng lokal generéiert Äntwert no Destinatioun a Quellpolitik. Eng quellbaséiert Regel kann amplaz nëmmen d’Äntwerte vum Service iwwer eng komplett WAN-Tabell schécken an den normale Sortie um Tunnel loossen. De Port bleift op, während d’Äntwert iwwer de falsche Wee fortgeet, an dofir gesäit de Symptom eesäiteg aus.

De falsche Gedanken: Äntwerten suivéieren den Interface, op deem se ukomm sinn

Et schéngt logesch, datt e Pak, deen op eth0 ukënnt, och op eth0 fortgeet. Zoustänneslos Pakfilter kënnen esou geschriwwe ginn, an tcpdump op der Inbound-Säit weist d’Ufro genee do, wou se erwaart gëtt. Routing funktionéiert esou net fir Traffic, deen den Host selwer generéiert.

Soubal de Service d’Verbindung unhëlt, ass seng Äntwert en neie, lokal generéierte Pak. De Kernel consultéiert d’Routingregelen fir d’Destinatioun an d’Quell vun der Äntwert, an d’Standardroute vun der VPN ass eng komplett valabel Äntwert. Näischt am Socket erënnert sech drun, wéi en Interface d’Ufro transportéiert huet.

Dofir gesäit de Symptom eesäiteg aus: Ufroe kommen un, Äntwerten verschwannen. Dofir ännert och eng Firewallregel fir den Inbound-Port näischt. De Pak gëtt net um Wee erage blockéiert; en gëtt um Wee eraus anzwousch anescht geroutet. Verfollegt d’Äntwert mat enger quellqualifizéierter Sich, an den Ëmwee gëtt siichtbar.

Wat de Kernel tatsächlech routet: d’Quelladress

De Grëff, deen Dir braucht, ass déi lokal Adress, déi de Service fir Äntwerten benotzt. Op engem Host mat der illustrativer eth0-Adress 192.0.2.10/24 an dem Gateway 192.0.2.1 ass déi Adress um Interface präsent. Op enger Cloud-VM kann d’ëffentlech Adress uewendriwwer iwwersat sinn an am Gaascht fehlen, dofir benotzt déi Adress, déi den Host tatsächlech huet.

Inspizéiert den aktuellen Zoustand, ier Dir eng Tabellnummer oder eng Regelprioritéit reservéiert. Bestoend Politikregelen kënnen eng nei iwwerschiedegen, an eng al Tabell mat der selwechter Nummer kann schonn onrelatéiert Routen droen:

ip -4 addr show dev eth0
ip -4 rule show
ip -4 route show table all

Dann wielt eng Tabell no der Quell. D’Regel entsprécht den Äntwerten, déi schonn 192.0.2.10 droen, genee dee lokal ofgeschlossenen Traffic, deen Dir wëllt ausklameren. Weidergeleeten Traffic a Paken aus aneren lokalen Adressen entspriechen net.

Baut eng komplett Retourtabell, net eng hallef Standardroute

Eng Tabell mat nëmmen enger Standardroute ass net genuch. De Kernel muss nach ëmmer de Gateway opléisen, an déi Opléisung brauch de verbonnenen Prefix an der selwechter Tabell. Eng Tabell, där dëse Prefix feelt, versoeet bei der Gateway-Opléisung, och wann hir Standardroute richteg ausgesäit. Füügt béides derbäi an da riicht d’Quellregel op d’Tabell:

ip -4 route add table 100 192.0.2.0/24 dev eth0 src 192.0.2.10
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 from 192.0.2.10/32 lookup 100

Benotzt de richtege Prefix an de richtege Gateway, amplaz d’Beispill ze kopéieren. En Cloud-Interface, deen als /32 mam On-Link-Gateway konfiguréiert ass, brauch eng aner verbonne Route, an eng Tabell, déi aus dem falsche Prefix gebaut ass, versoeet um éischten Hop. D’Attribut src nennt d’bevirzugt Quell fir déi Route; et ersetzt d’Quellregel net.

D’Reiefolleg zielt och. Eng breet Regel mat enger méi niddereger Prioritéitsnummer gëtt als éischt evaluéiert, dofir muss d’Quellregel erreecht ginn, ier eng Regel, déi dësen Traffic zréck an d’Haapttabell schécke géif. Kontrolléiert d’Prioritéiten mat ip rule show nodeems Dir se derbäi gesat hutt, net nëmmen beim Start.

Verifizéiert mat enger quellqualifizéierter Sich

Frot de Kernel, eng Testdestinatioun vun der Serviceadress aus ze routen. D’Äntwert soll eth0 an de WAN-Gateway nennen, net den Tunnel:

ip -4 route get 198.51.100.25 from 192.0.2.10

Da maacht eng nei autoriséiert Verbindung a beobacht béid Richtungen. Eng Sich, déi déi richteg Tabell wielt, während d’live Verbindung nach ëmmer versoeet, weist op Ëmgekehrte-Wee-Filterung oder eng Firewallregel hin, net op d’Tabell. Kontrolléiert déi Kontrollen, ier Dir eppes global desaktivéiert.

Setzt déi final Routen an d’Regel ënner de Netzmanager, deen den Interface besëtzt. Adressännerungen, DHCP-Erneierung a VPN-Rememberbindungen schreiwen all de Kernelzoustand nei, an eng Regel, déi vun Hand derbäi gesat gouf, verschwënnt oder weist no dem nächsten Evenement op en iwwerhuelten Gateway.

Wou dës Ausnam ophält

D’Regel befreit lokal ofgeschlossenen Traffic vun enger Quelladress. Se deckt net d’Porte vum Docker, DNAT oder Servicer of, déi duerch den Host weidergeleet ginn, well déi Paken als weidergeleeten Traffic geroutet ginn an ni d’lokal Quell vum Host op déiselwecht Manéier droen. Esou Konzepter brauchen normalerweis eng Mark, déi beim Ingress gesat gëtt, an eng Regel, déi zu der Mark passt.

Se mécht och net, datt déi ëffentlech Adress vum Host um Interface erschéngt. Wa en Upstream-NAT déi Adress besëtzt, muss d’Äntwert nach ëmmer iwwer de Wee fortgoen, deen deen NAT erwaart, dofir muss d’WAN-Tabell de ursprénglechen Gateway an de Prefix spigelen, an net eng geroden ëffentlech Bandbreed.

Halt d’Ausnam dokumentéiert mat hirer Tabellnummer, der Regelprioritéit an der exakter Quelladress. Déi nächst Ännerung un der VPN oder um Interface kann se stille briechen, an eng Notiz, déi déi dräi Wäerter nennt, ass méi séier ze kontrolléieren, wéi de Symptom aus engem Clientrapport erëm z’entdecken.

Wa de Service no enger erfollegräicher quellqualifizéierter Sich nach ëmmer iwwer de falsche Wee äntwert, vergläicht d’Quelladress vum live Socket mat där an der Regel. En Service, deen un eng Wildcard-Adress gebonnen ass, kann eng aner Quell wielen wéi d’Adress, déi Dir getest hutt, an déi Onstëmmegkeet ass de verbleiwenen Abstand.