Зошто вашиот VPN интерфејс постојано ја напушта својата firewalld зона

Додавате tun0 во вистинската зона, апликацијата почнува да работи, а поправката испарува при следното повторно поврзување. Повторното извршување на истата команда работи, што создава впечаток дека firewalld заборавил. Не заборавил; нешто со посилно право на тој интерфејс го додели повторно.

Зоната опстојува додека интерфејсот не се создаде повторно

Доделувањето на firewalld зона на интерфејс е врзување, а врзувањата се врзани за објектот на интерфејсот каков што постои сега. VPN клиент што го разградува уредот и повторно го создава произведува нов објект, а новиот почнува од она што го вели компонентата што доделува. Затоа симптомот се повторува при секое повторно поврзување, а не при секој пакет.

Истата логика го објаснува однесувањето при рестартирање: врзувањата во време на извршување не го преживуваат рестартирањето, а постојаните врзувања важат само за уреди што firewalld смета дека ги поседува.

Пред да промените нешто, откријте која компонента ја доделува зоната.

Прочитајте три работи пред да промените нешто

Запишете ја зоната што интерфејсот ја има сега, активните зони со нивните интерфејси и постојаниот список на интерфејси за зоната што ја намеравате. Извршете ги тие прашања пред промената, по едно повторно поврзување и по едно рестартирање. Споредбата на трите резултати ви кажува дали врзувањето се заменува, се игнорира или само доцна се применува. Ако постојаниот список веќе го наведува уредот, а зоната во време на извршување не се согласува, нешто ја надминува вашата измена.

Запишете го и вистинското име на уредот при секој чекор, бидејќи тунел што денес слетува на tun0 утре може да слета на tun1.

Зачуваното врзување на општо име не е проверка на идентитет, а две минути запишување штедат еден час погодување.

Кога NetworkManager ја поседува врската

Ако NetworkManager управува со VPN врската, неговиот профил ја носи зоната и ѝ ја предава на firewalld кога врската се активира. Постојаното врзување на интерфејс во firewalld за истиот уред тогаш може да се игнорира, бидејќи сопственик е NetworkManager. Поставете ја зоната на врската и потврдете дека го уредувате VPN профилот, а не неповрзана физичка врска или привремен запис.

Промената на тоа својство може веднаш да влијае на активна врска.

Држете достапна патека за управување и прочитајте ја политиката на целната зона пред да ја примените. Уредувањето на полето ZONE во ifcfg-датотека е точно само таму каде што таа датотека се уште е извор на конфигурацијата.

Кога firewalld го поседува врзувањето

За самостоен тунел со намерно стабилно име на интерфејс, постојаната промена на интерфејсот е вистинската алатка. Применете ја преку повторното вчитување или животниот циклус што го користи вашето распоредување, потоа проверете ја состојбата во време на извршување, бидејќи измената само во постојаните поставки ја опишува намерата, а не она што е активно. Двете можат да се разидуваат онолку колку што трае повторното вчитување.

Ако името на интерфејсот е динамично, одржувајте го доделувањето низ животниот циклус на врската, наместо да се тркате со тунелот што прв го бара името.

Не фрлајте го интерфејсот во trusted само за да проработи апликацијата.

Тестирајте го повторното вчитување, повторното поврзување и рестартирањето

Промената е завршена само кога ќе ги преживее сите три.

Прво вчитајте повторно, бидејќи таму исчезнуваат измените само во време на извршување. Потоа повторно поврзете го тунелот, бидејќи таму заменетиот интерфејс го губи своето врзување. Потоа рестартирајте, бидејќи таму конечно се појавува несовпаѓањето на сопственикот. Запишете ја зоната во секоја фаза и споредете ја со намерата што ја запишавте, и означете кој чекор ја создаде разликата.

Ако зоната е точна, а апликацијата се уште не успева, проблемот е во правилата на зоната или во класификација врз основа на извор, а не во членството. документацијата на firewalld за врски и интерфејси е референцата за тоа како треба да работи сопственоста.

Запишете го сопственикот, вредноста и очекуваниот резултат во runbook, и следното прераспределување ќе биде објасниво.