Linux VPN-ийн хариултууд алга болж байна уу? rp_filter болон маршрутыг шалгаарай

Хүсэлтүүд машиныг орхиж, VPN хамтрагч хариулдаг боловч хариулт нь сокет руу хэзээ ч хүрдэггүй. Туннель өргөгдсөн, хамтрагчийн лог пакет илгээгдэж буйг харуулж байна, аппликейшн дотор энэ чимээгүй байдлыг тайлбарлах зүйл байхгүй. Linux дээр ердийн сэжигтнүүдийн нэг нь урвуу замын шүүлт юм: ирж буй IPv4 пакетыг эх сурвалжийн баталгаажуулалт цөм тухайн эх сурвалжид хүлээж буй маршруттай тохирохгүй үед татгалзаж болно. Үүнийг дарааллаар нь хянах нь шалтгаан уу, эсвэл санамсаргүй тохиол уу гэдгийг хэлнэ. Энэ нь мөн дутуу маршрутыг засахын тулд аюулгүй байдлын хяналтыг унтраахаас сэргийлнэ.

Эх сурвалжийн баталгаажуулалт юу шийддэг вэ

Цөм нь пакетын эх хаяг нь түүний ирсэн интерфейст үндэслэлтэй эсэхийг маршрутын хүснэгтээс тухайн эх сурвалж руу буцах маршрутыг хайж шалгана. Хэрэв урвуу маршрут өөр тийш зааж байвал пакет нь галт ханын дүрэм эсвэл аппликейшны сокет үүнийг харахаас өмнө хаягдаж болно. Энэ шалгалт нь тодорхой хуурамчлалын хэв маягийг хүндрүүлэх зорилготой бөгөөд ийм учраас тэгш бус болон бодлогоор маршрутлагдсан шийдлүүд үүнд тогтдог боловч нэг сүлжээний энгийн клиент бүр сайн ажилладаг. Энгийн клиентүүд тэгш хэмтэй маршрутлалттай байдаг бөгөөд шалгалтын таамагладаг нь яг үүнтэй адил юм.

Чухал үг нь үндэслэлтэй. Пакет бүрэн хууль ёсны байж болох бөгөөд шалгалтад унаж болно, учир нь хууль ёсны байдал шалгагдахгүй.

Бодит горимыг уншина уу, нэг талбарыг биш

Гурван горим байдаг: идэвхгүй, хатуу, сул. Хатуу нь сулаас өөр маршрутын хүлээлт тавьдаг бөгөөд глобалу тохиргоо интерфейс бүрийн тохиргоотой харилцан үйлчилдэг тул нэг файлыг унших нь бодитоор хүчин төгөлдөр байгааг буруу дүрсэлж болно. Хоёуланг нь уншиж, хариултыг хүлээн авдаг интерфейс дээр уншина уу, өгөгдмөл маршрутын интерфейс дээр биш.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Гурав дахь мөр дахь маршрутын хайлт бол хүмүүсийн алгасдаг хэсэг. Энэ нь цөм эх сурвалжийн талаар юу гэж бодож байгааг хэлдэг бөгөөд энэ нь яг шалгалтын оролт юм.

Шалгалтыг өөрчлөхөөс өмнө зөрүүг олоорой

Хариулт яагаад тэр интерфейс дээр ирдэг, түүний урвуу маршрут өөр байх ёстой эсэхийг тодруулаарай. Хүсэлтийг нэг замаар илгээж, хариултыг нөгөө замаар буцаадаг бодлогын дүрэм нь хууль ёсны шийдэл, хатуу баталгаажуулалт яг тэр шийдлийг татгалздаг. Бодлогын маршрутлалтад хэрэглэдэг тэмдэглэгээ энд ч чухал байж болно, учир нь тэд урвуу хайлт юу буцаахыг өөрчилдөг.

Хэрэв урвуу маршрут зүгээр л дутуу бол түүнийг нэмэх нь шалгалтыг унтраахын оронд шалтгааныг засна. Дутуу маршрут, галт ханын татгалзал, буруу траффикийн сонгогч бүгд ижил харагдах шинж тэмдэг үүсгэдэг бөгөөд тэдгээрийн зөвхөн нэг нь эх сурвалжийн баталгаажуулалтын тухай юм.

Эх сурвалжийн шалгалтыг эхний хариу үйлдэл болгон глобал байдлаар бүү унтраа. Энэ нь тодорхой оношийг дараа нь санах хэрэгтэй өргөн зан үйлийн өөрчлөлтөөр солино.

Хамгаалж болох сонгомол тохируулга

Хэрэв нарийн тохируулга үнэхээр шаардлагатай бол түүнийг шаардлагатай интерфейст хязгаарлаж, яагаад гэдгийг бичиж, дахин ачаалалтаас хойш ч үлдэхийн тулд тэр интерфейсийг эзэмшдэг тохиргоонд байрлуул. Дараа нь бүтэлгүйтсэн яг тэр урсгалыг ижил эх сурвалжаас ижил зорилт руу дахин шалга, тохиромжтой зүйл рүү ping хийхийн оронд.

Одоо ч татгалзагдах ёстой тохиолдлыг оруул. Хэрэв тэр тохиолдол одоо амжилттай болвол тохируулга нь засах гэж байсан нэг замаас илүүг сулласан байна.

IPv4 болон IPv6-г тусад нь байлга

Талархсан харагдах sysctl нь хаягийн гэр бүл бүрийн бодлого биш. IPv6 нь өөрийн зан үйл, өөрийн тохиргоотой бөгөөд машин нэг гэр бүлд хатуу, нөгөөд нь зөөлөн байж болох бөгөөд тодорхой зорилт бүтэлгүйтэх хүртэл хэн ч анзаарахгүй. Ажлын ачаалал хоёуланг нь ашигладаг бол хоёуланг нь шалга.

Горим, интерфейс, маршрутын хайлтын гаралт, өөрчлөлтийн шалтгааныг нэг газар тэмдэглэ. Дараагийн хүн тохиргоог олоод ямар ч тайлбар олохгүй бөгөөд түүнийг устгах эсвэл тохирохгүй газар хуулах болно.