Kāpēc jūsu VPN saskarne nemitīgi pamet savu firewalld zonu

Jūs pievienojat tun0 pareizajai zonai, lietojumprogramma sāk darboties, un labojums iztvaiko nākamajā atkārtotajā savienojumā. Tās pašas komandas atkārtota palaišana darbojas, kas liek izskatīties, it kā firewalld būtu aizmirsusi. Tā nav aizmirsusi; kaut kas ar spēcīgāku pretenziju uz šo saskarni to piešķīra no jauna.

Zona saglabājas, līdz saskarne tiek izveidota no jauna

firewalld zonas piešķiršana saskarnei ir saistīšana, un saistīšanas ir piesaistītas saskarnes objektam tādam, kāds tas pastāv tagad. VPN klients, kas izjauc ierīci un izveido to no jauna, rada jaunu objektu, un jaunais sākas ar to, ko saka piešķirošā komponente. Tāpēc simptoms atkārtojas katrā atkārtotajā savienojumā, nevis katrā paketē.

Tā pati loģika izskaidro uzvedību pārstartēšanas laikā: izpildlaika saistīšanas nepārdzīvo pārstartēšanu, un pastāvīgās saistīšanas attiecas tikai uz ierīcēm, kuras firewalld uzskata par savām.

Pirms kaut ko maināt, noskaidrojiet, kura komponente piešķir zonu.

Pirms kaut ko maināt, izlasiet trīs lietas

Pierakstiet zonu, kas saskarnei pašlaik ir, aktīvās zonas ar to saskarnēm un pastāvīgo saskarņu sarakstu zonai, kuru plānojat. Izpildiet šos vaicājumus pirms izmaiņas, pēc viena atkārtota savienojuma un pēc vienas pārstartēšanas. Trīs rezultātu salīdzināšana parāda, vai saistīšana tiek aizstāta, ignorēta vai tikai piemērota novēloti. Ja pastāvīgajā sarakstā ierīce jau nosaukta, bet izpildlaika zona tam nepiekrīt, kaut kas pārraksta jūsu labojumu.

Katrā solī pierakstiet arī ierīces īsto nosaukumu, jo tunelis, kas šodien nolaižas uz tun0, rīt var nolaisties uz tun1.

Saglabāta saistīšana ar vispārīgu nosaukumu nav identitātes pārbaude, un divas minūtes pierakstu ietaupa stundu minējumu.

Kad savienojumu pārvalda NetworkManager

Ja NetworkManager pārvalda VPN savienojumu, tā profils nes zonu un nodod to firewalld, kad savienojums tiek aktivizēts. Pastāvīga firewalld saskarnes saistīšana tai pašai ierīcei tad var tikt ignorēta, jo īpašnieks ir NetworkManager. Iestatiet zonu uz savienojuma un apstipriniet, ka rediģējat VPN profilu, nevis nesaistītu fizisku savienojumu vai pagaidu ierakstu.

Šīs īpašības maiņa var nekavējoties ietekmēt aktīvu savienojumu.

Turiet pieejamu pārvaldības ceļu un pirms piemērošanas izlasiet mērķa zonas politiku. ifcfg faila ZONE lauka rediģēšana ir pareiza tikai tur, kur šis fails joprojām ir konfigurācijas avots.

Kad saistīšanu pārvalda firewalld

Atsevišķam tunelim ar apzināti stabilu saskarnes nosaukumu pastāvīga saskarnes maiņa ir pareizais rīks. Piemērojiet to caur pārlādi vai dzīves ciklu, ko izmanto jūsu izvietošana, pēc tam pārbaudiet izpildlaika stāvokli, jo tikai pastāvīgs labojums apraksta nodomu, nevis to, kas ir aktīvs. Abi var atšķirties tik ilgi, cik ilga ir pārlāde.

Ja saskarnes nosaukums ir dinamisks, uzturiet piešķīrumu visā savienojuma dzīves ciklā, nevis sacentieties ar tuneli, kas nosaukumu pieprasa pirmais.

Neiemetiet saskarni trusted zonā tikai tāpēc, lai lietojumprogramma darbotos.

Pārbaudiet pārlādi, atkārtotu savienojumu un pārstartēšanu

Izmaiņa ir pabeigta tikai tad, kad tā pārdzīvo visas trīs.

Vispirms veiciet pārlādi, jo tur pazūd tikai izpildlaika labojumi. Pēc tam atkārtoti pievienojiet tuneli, jo tur aizstātā saskarne zaudē savu saistīšanu. Pēc tam pārstartējiet, jo tur beidzot parādās īpašnieka neatbilstība. Katrā posmā pierakstiet zonu un salīdziniet to ar pierakstīto nodomu, un atzīmējiet, kurš solis radīja atšķirību.

Ja zona ir pareiza un lietojumprogramma joprojām neizdodas, problēma ir zonas noteikumos vai klasifikācijā pēc avota, nevis dalībā. firewalld dokumentācija par savienojumiem un saskarnēm ir atsauce uz to, kā īpašumtiesībām būtu jādarbojas.

Pierakstiet īpašnieku, vērtību un gaidīto rezultātu runbook, un nākamā pārpiešķiršana būs izskaidrojama.