Ir-risposti tal-VPN fuq Linux jisparixxu? Iċċekkja rp_filter u r-rotta

It-talbiet jitilqu mill-magna, il-pari tal-VPN iwieġeb, u r-risposta qatt ma tasal għas-sokit. It-tunnel huwa attiv, il-logs tal-pari juru li l-pakkett qed jintbagħat, u xejn fl-applikazzjoni ma jispjega s-skiet. Fuq Linux wieħed mis-suspettati tas-soltu huwa l-filtrazzjoni tal-passaġġ invers: pakkett IPv4 li jidħol jista’ jiġi miċħud meta l-validazzjoni tas-sors ma taqbilx mar-rotta li l-kernel jistenna għal dak is-sors. Li tgħaddi minnha fl-ordni jgħidlek jekk hix il-kawża jew koinkidenza. Hija wkoll iżżommok milli tiddiżattiva kontroll tas-sigurtà biex issewwi rotta neqsin.

X'jiddeċiedi l-validazzjoni tas-sors

Il-kernel jiċċekkja jekk l-indirizz tas-sors tal-pakkett huwiex plawsibbli għall-interface li wasal minnha, billi jikkonsulta t-tabella tar-routing għal rotta lura lejn dak is-sors. Jekk ir-rotta inversa tipponta x'imkien ieħor, il-pakkett jista’ jiġi mwarrb qabel ma xi regola tal-firewall jew sokit tal-applikazzjoni tara. Dak il-kontroll jeżisti biex jagħmel ċerti mudelli ta' spoofing aktar diffiċli, u huwa wkoll għalhekk li d-disinji asimmetriċi u dawk routed bil-politika jaħbtu miegħu waqt li kull klijent ordinarju fl-istess netwerk jaħdem sew. Il-klijenti ordinarji għandhom routing simetrika, li huwa eżattament dak li tassumi l-verifika.

Il-kelma importanti hija plawsibbli. Il-pakkett jista’ jkun għal kollox leġittimu u xorta jonqos fil-verifika, għax mhix il-leġittimità li qed tiġi ttestjata.

Aqra l-mod effettiv, mhux kamp wieħed

Jeżistu tliet modi: diżattivat, strett u laxk. L-istrett jimponi aspettattiva ta' rotta differenti mil-laxk, u l-issettjar globali jinteraġixxi ma' dawk għal kull interface, għalhekk li taqra fajl wieħed jista' jiddeskrivi b'mod żbaljat dak li huwa verament fis-seħħ. Aqra t-tnejn, u aqrahom fuq l-interface li tirċievi r-risposta, mhux fuq l-interface tar-rotta awtomatika.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Ir-riċerka tar-rotta f'dik it-tielet linja hija l-parti li n-nies jaqbżu. Tgħidlek x'jaħseb il-kernel dwar is-sors, u dak huwa eżattament l-input tal-verifika.

Sib in-nuqqas ta' qbil qabel ma tbiddel il-verifika

Aqta' għalfejn ir-risposta tasal fuq dik l-interface u jekk ir-rotta inversa tagħha għandhiex tkun differenti. Regola tal-politika li tibgħat it-talbiet minn passaġġ wieħed waqt li r-risposti jirritornaw minn ieħor hija disinn leġittimu, u huwa wkoll id-disinn li l-validazzjoni stretta tirrifjuta. Il-marki użati fir-routing tal-politika jistgħu jgħoddu hawn ukoll, għax ibiddlu dak li jirritorna t-tiftix invers.

Jekk ir-rotta inversa sempliċement neqsin, iż-żieda tagħha ssewwi l-kawża minflok ma tiddiżattiva verifika. Rotta neqsin, ċaħda mill-firewall u selettur tat-traffiku żbaljat kollha jipproduċu l-istess sintomu viżibbli, u wieħed biss minnhom huwa dwar il-validazzjoni tas-sors.

Tiddiżattivax il-verifiki tas-sors globalment bħala l-ewwel reazzjoni. Dan jibdel dijanjożi speċifika ma' bidla fl-imġiba wiesgħa li tkun trid tiftakar aktar tard.

Aġġustament selettiv li tista' tiddefendi

Jekk aġġustament dejjaq huwa verament meħtieġ, illimitalu għall-interface li teħtieġu, innota għalfejn, u poġġih fil-konfigurazzjoni li tippossjedi dik l-interface biex jibqa' wara reboot. Imbagħad erġa' ttestja eżattament il-fluss li falla, mill-istess sors lejn l-istess destinazzjoni, minflok ping lejn xi ħaġa konvenjenti.

Inkludi każ li xorta għandu jiġi rifjutat. Jekk dak il-każ issa jirnexxi, l-aġġustament dgħajjef aktar mill-unika passaġġ li ridt issewwi.

Żomm IPv4 u IPv6 separati

sysctl li jidher familjari mhuwiex politika għal kull familja ta' indirizzi. IPv6 għandha l-imġiba tagħha u l-issettjar tagħha stess, u magna tista' tkun stretta fuq familja waħda u permissiva fuq l-oħra mingħajr ma ħadd jinduna sakemm tfalli destinazzjoni speċifika. Iċċekkja t-tnejn jekk ix-xogħol juża t-tnejn.

Iddokumenta l-mod, l-interface, l-output tat-tiftix tar-rotta u r-raġuni għall-bidla f'post wieħed. Il-persuna li jmiss issib l-issettjar u l-ebda spjegazzjoni, u jew tneħħiha jew tikkupjaha fejn m'għandhiex tkun.