Għaliex net.ipv4.conf.default.forwarding iħalli tun0 ma jintmessx

Int stabbilixxejt net.ipv4.conf.default.forwarding=1, reġġajt bdejt il-VPN, u t-tunnel xorta qed iwarrab pakketti li l-gateway għandu jirrotta. Is-setting tidher tajba fil-fajl, u l-interface xorta tirrapporta li l-forwarding hija mitfija. Xejn mhu miksi: int biddilt il-valur li l-interfaces futuri jirtu, mhux dak li qed juża t-tunnel attiv.

Għaddi minn dan fuq il-host li jippossjedi t-tunnel, fin-namespace tan-netwerk fejn it-tunnel tassew jeżisti. Container jew namespace tan-netwerk jista' jżomm l-interface filwaqt li l-host juri numri differenti.

Aqra t-tliet valuri flimkien

Ibda billi tqabbel is-swiċċ tal-gateway kollu, il-mudell għall-interfaces ġodda u l-interface li tinteressak. Issostitwixxi tun0 bl-interface tad-dħul vera, u aqra wkoll l-interface tar-ritorn, għax il-forwarding tiġi evalwata fil-punt fejn jasal il-pakkett.

sysctl net.ipv4.ip_forward
sysctl net.ipv4.conf.default.forwarding
sysctl net.ipv4.conf.tun0.forwarding

Riżultat komuni huwa ip_forward = 0, default.forwarding = 1 u tun0.forwarding = 0. L-ewwel tnejn ma jaqblux dwar ir-rwol tal-host, u t-tielet juri x'inhi tassew tagħmel l-interface. Dik il-kombinazzjoni hija konsistenti ma' host li qatt ma ġie kkonfigurat bħala router, imma ngħata biss valur ta' mudell. It-tliet numri mhumiex kontradittorji; qed iwieġbu tliet mistoqsijiet differenti. Anki l-kitba tal-valur tal-mudell ma tiddeċidix ir-rwol tal-host.

Għaliex is-swiċċ globali huwa dak li jiċċaqlaq

net.ipv4.ip_forward hija l-kontroll tal-gateway kollu. Il-bidla tiegħu taġġorna s-settings tal-forwarding għal kull interface bħala parti mill-istess operazzjoni, u għalhekk kitba waħda tista' ġġiegħel tunnel eżistenti jibda jgħaddi 'l quddiem. default.forwarding jiżra' biss interfaces li jiġu inizjalizzati wara, għalhekk tunnel li kien diġà jeżisti jżomm il-valur li bih twieled.

Id-dokumentazzjoni tal-kernel timmarka ip_forward bħala speċjali għal raġuni relatata: il-bidla tiegħu tirrisettja sett ta' parametri oħra tal-IPv4 għall-valuri awtomatiċi tal-host jew tar-router. Dan jagħmilha strument bla moħħ. Li tistabbilixxiha darba bħala parti mit-twaqqif tar-rwol tal-gateway huwa tajjeb; li tibdilha bla heda bħala trick tad-debugging tista' tikteb mill-ġdid bl-istill konfigurazzjoni li ddedikajt ħin għaliha.

Il-valuri għal kull interface jeżistu wkoll għal raġuni. Gateway amministrat b'apposta jista' jżomm il-forwarding mitfija fuq interface li qatt m'għandha tirrotta, anki meta l-host jgħaddi 'l quddiem x'imkien ieħor. Għalhekk huwa importanti li taqra l-interface attiva u għalhekk il-valur globali waħdu mhuwiex it-tweġiba kollha. Aqra eċċezzjoni bħal din bħala deċiżjoni deliberata, u ikteb għaliex dik l-interface hija differenti. Inkella l-inġinier li jmiss se "jsewwiha" bl-akbar qalb tajba.

Agħmel is-setting permanenti fil-post it-tajjeb

Eżekuzzjoni waħda ta' sysctl -w li tirnexxi tipprova li l-kernel jaċċetta l-valur. Ma tgħaddix minn reboot, u ma tgħaddix minn network manager li jerġa' japplika l-idea tiegħu tal-konfigurazzjoni tal-interface meta jerġa' jqabbad. Qiegħed ir-rwol tal-gateway fil-fajl tal-konfigurazzjoni tas-sysctl jew fin-network manager li jippossjedi l-host, u mbagħad erġa' bda s-servizz li japplikah.

L-ordni hija importanti bit-tunnels. Jekk il-manager joħloq l-interface waqt il-boot u japplika l-forwarding wara, l-interface tista' tiret il-valur awtomatiku l-qadim. Restart tas-servizz li jerġa' joħloq it-tunnel huwa wkoll avveniment ta' ħolqien, u huwa faċli li jintrema meta l-unit tidher sana. Iċċekkja l-ordni, mhux biss il-kontenut finali tal-fajl.

Erġa' aqra l-istess tliet valuri wara li l-VPN terġa' tqabbad u għal darb'oħra wara reboot. Tunnel maħluq mill-ġdid huwa interface ġdida, u interface ġdida tieħu l-valur awtomatiku fis-seħħ fil-mument tal-ħolqien. Jekk in-numri jinbidlu fost dawn l-avvenimenti, il-konfigurazzjoni qed tiġi applikata minn xi ħaġa li għadek ma identifikajtx.

Tiswijhiex b'għodda ħażina

Meta l-forwarding dehret miksura, it-tentazzjoni hija li tħott il-firewall jew iżżid masquerading. L-ebda waħda minnhom ma tindirizza s-swiċċ tal-forwarding. L-istat tal-forwarding, il-permess biex tgħaddi 'l quddiem, rotta għad-destinazzjoni u mogħdija tar-ritorn huma erba' rekwiżiti separati, u l-ewwel waħda biss hija s-sysctl.

Ittestja wkoll bil-fluss it-tajjeb. Talba magħmula fuq il-gateway stess ma tittrenax il-forwarding xejn; hija traffiku ġġenerat lokalment. Il-mistoqsija hija jekk pakkett li jasal minn klijent VPN jew host LAN jiġix aċċettat u rrotat 'il quddiem, għalhekk it-test irid jibda minn wara l-gateway.

Żomm il-każ tal-IPv6 separat

Hawn kollox huwa IPv4. Il-forwarding tal-IPv6, l-avviżi tar-router u l-imġiba tal-accept_ra għandhom il-kontrolli tagħhom stess, u l-ikkupjar ta' mogħdija ipv4 f' setting ipv6 jipproduċi fajl li jidher plawżibbli u ma jagħmel xejn utli. Gateway b'żewġ stacks għandu bżonn iż-żewġ settijiet ikkonfigurati b'apposta.

Kontroll finali: wara li l-valuri jaqblu, ikkonferma li r-rotta tat-tunnel hija magħżula għad-destinazzjoni u li l-mogħdija tar-risposta teżisti. Forwarding mixgħula fuq interface mingħajr rotta xorta tibqa' toqba sewda, u dik il-falliment tidher l-istess min-naħa tal-klijent.