Balasan Linux VPN hilang? Semak rp_filter dan laluan

Permintaan meninggalkan mesin, rakan sebaya VPN menjawab, dan balasan itu tidak pernah sampai ke soket. Terowong aktif, log rakan sebaya menunjukkan paket dihantar, dan tiada apa dalam aplikasi yang menjelaskan kesenyapan itu. Dalam Linux salah satu suspek biasa ialah penapisan laluan balik: paket IPv4 yang masuk boleh ditolak apabila pengesahan sumber tidak sepadan dengan laluan yang dijangka oleh kernel untuk sumber itu. Menelusurinya mengikut urutan memberitahu anda sama ada itu puncanya atau kebetulan. Ia juga menghalang anda daripada mematikan kawalan keselamatan untuk membaiki laluan yang hilang.

Apa yang diputuskan oleh pengesahan sumber

Kernel menyemak sama ada alamat sumber paket itu munasabah untuk antara muka tempat ia tiba, dengan merujuk jadual penghalaan untuk laluan balik ke sumber itu. Jika laluan balik menunjuk ke tempat lain, paket itu boleh digugurkan sebelum mana-mana peraturan firewall atau soket aplikasi melihatnya. Semakan itu wujud untuk menyukarkan corak penyamaran tertentu, dan itulah sebabnya reka bentuk tak simetri dan berpenghalaan dasar terlanggar dengannya manakala setiap klien biasa pada rangkaian yang sama berfungsi dengan baik. Klien biasa mempunyai penghalaan simetri, yang tepat seperti yang diandaikan oleh semakan itu.

Perkataan penting ialah munasabah. Paket itu boleh sah sepenuhnya dan masih gagal semakan, kerana yang diuji bukanlah kesahihannya.

Baca mod berkesan, bukan satu medan

Terdapat tiga mod: dilumpuhkan, ketat dan longgar. Ketat mengenakan jangkaan laluan yang berbeza daripada longgar, dan tetapan global berinteraksi dengan tetapan setiap antara muka, jadi membaca satu fail boleh menggambarkan secara salah apa yang sebenarnya berkuat kuasa. Baca kedua-duanya, dan bacalah pada antara muka yang menerima balasan, bukan pada antara muka laluan lalai.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Carian laluan pada baris ketiga itu ialah bahagian yang orang ramai langkau. Ia memberitahu anda apa yang kernel percaya tentang sumber itu, dan itulah tepat input kepada semakan.

Cari ketidakseragaman sebelum menukar semakan

Ketahui mengapa balasan tiba pada antara muka itu dan sama ada laluan baliknya sepatutnya berbeza. Peraturan dasar yang menghantar permintaan melalui satu laluan sementara balasan kembali melalui laluan lain ialah reka bentuk yang sah, dan itulah juga reka bentuk yang ditolak oleh pengesahan ketat. Tanda yang digunakan dalam penghalaan dasar juga boleh penting di sini, kerana ia mengubah apa yang dikembalikan oleh carian balik.

Jika laluan balik itu memang hilang, menambahnya membaiki puncanya dan bukannya mematikan semakan. Laluan yang hilang, penolakan firewall dan pemilih trafik yang salah semuanya menghasilkan gejala yang sama kelihatan, dan hanya satu daripadanya berkaitan pengesahan sumber.

Jangan matikan semakan sumber secara global sebagai tindak balas pertama. Itu menukar diagnosis yang khusus dengan perubahan tingkah laku yang luas yang perlu anda ingat kemudian.

Pelarasan terpilih yang boleh anda pertahankan

Jika pelarasan sempit benar-benar diperlukan, hadkannya kepada antara muka yang memerlukannya, catat sebabnya, dan letakkan dalam konfigurasi yang memiliki antara muka itu supaya ia kekal selepas but semula. Kemudian uji semula aliran yang sebenarnya gagal, dari sumber yang sama ke destinasi yang sama, bukannya ping ke sesuatu yang mudah.

Sertakan kes yang masih patut ditolak. Jika kes itu kini berjaya, pelarasan itu melemahkan lebih daripada satu laluan yang anda mahu baiki.

Asingkan IPv4 dan IPv6

sysctl yang kelihatan biasa bukan dasar untuk setiap keluarga alamat. IPv6 mempunyai tingkah laku dan tetapannya sendiri, dan sebuah mesin boleh menjadi ketat pada satu keluarga dan permisif pada keluarga lain tanpa sesiapa menyedarinya sehingga destinasi tertentu gagal. Semak kedua-duanya jika beban kerja menggunakan kedua-duanya.

Catat mod, antara muka, output carian laluan dan sebab perubahan di satu tempat. Orang seterusnya akan menemui tetapan itu tanpa sebarang penjelasan, dan sama ada akan membuangnya atau menyalinnya ke tempat yang tidak sepatutnya.