د VPN ګېټوې له بیا پیلېدو وروسته IPv4 لېږد وساتئ

د ګېټوې ping کار کوي خو د هغې شاته هر څه ته رسېدل نه، او دا د لېږد ستونزې بڼه ده نه د تونل ستونزې۔ ګېټوې ته سیمه ای تحویل ثابتوي چې تونل پورته شو او د پت ټاکنه یې وکړه؛ خو دا هېڅ نه وایي چې کرنل به بسته له یوې برخې بلې ته تېره کړي که نه۔ له هر sysctl څخه مخکې، تایید کړئ چې ماشین د دې ترافیک د لېږدوونکي لپاره دی او هغه شبکه ایي زمینه ومومئ چې د کارن خواته برخه لري۔ بیا ارزښت هماغه ځای ولولئ، نه هغه ځای چې ستاسو لخوا لوستل شوې وروستنۍ لارښود ناڅاپه کتلی و۔

ګېټوې ته رسېدل لېږد نه دی

د کرنل دننه دوه جلا پرېکړې کېږي۔ سیمه ای پت ته تحویل د بستې سفر پای ته رسوي؛ لېږد هغه بیا د بلې برخې له لارې بهر وړي، او دا دوهمه پرېکړه د هر شبکې نومتش له مخې اداره کېږي۔ ګېټوې کېدای شي په بشپړه توګه د لاسرسي وړ وي پداسې حال کې چې لېږد بند وي، او د ping له پرامپټ څخه دواړه نیمګړتیاوې یو شان ښکاري۔

ولیکئ چې د کارن بسته کومې برخې ته راځي او بل مسیر کومې برخې ته وځي۔ دواړه یوې نومتش پورې اړه لري، او مهم تنظیم هماغه نومتش کې دی۔

ارزښت هغه ځای ولولئ چې بستې واقعاً دي

په هغه ګېټوې کې چې د کوربه نومتش کې لېږدوي، یو حکم پوښتنې ته ځواب ورکوي: sysctl net.ipv4.ip_forward۔ کله چې د ننوتلو او بل مسیر په نومول شوې نومتش کې وي، له هماغې نومتش څخه وپوښتئ: ip netns exec vpn-gw sysctl net.ipv4.ip_forward۔ د کوربه ارزښت د نومتش د ارزښت بدیل نه دی، او په کوربه کې یو والی د هېڅ شي ثبوت نه دی۔

هره لېږد زمینه نه لري هغه نښه چې تاسو یې ip netns ته ورکولی شئ۔ کنټینر رنټایمونه او خدمتونه داسې نومتشونه جوړوي چې هېڅکله د دوستانه نوم لاندې نه ثبتېږي، او د هغو لپاره د رنټایم د کتنې وسایل کاروئ۔ vpn-gw د ریښتیني نوم یا د هماغې زمینې د هغه میکانیزم سره بدل کړئ چې هماغه زمینه ته رسېږي، او په کوربه کچه د اټکل کولو مخه ونیسئ۔

تنظیم ته یو مالک ورکړئ

په یوه عادي systemd کوربه ګېټوې کې تلپاتې بڼه د مدیر ټاکلي نوم سره drop-in فایل دی، لکه /etc/sysctl.d/60-vpn-forwarding.conf، چې net.ipv4.ip_forward = 1 لري۔ فایل ولیکئ، بیا هماغه ځانګړی فایل بار کړئ ترڅو ژوندی حالت هم بدل شي: sudo sysctl -p /etc/sysctl.d/60-vpn-forwarding.conf، او بیا یې وروسته ولولئ۔ د فایل نوم یو بېلګه ده نه یو خوندي VPN مسیر، او پیلېدونکې شمېره مهمه ده ځکه چې وروسته ترتیب شوي فایلونه ګټي۔

لومړیتوب هغه ځای دی چې تلپاتېوالی په غلې توګه ماتېږي۔ د ویش د باروونکي او خپل drop-in دواړه وګورئ، ځکه procps sysctl --system په پای کې /etc/sysctl.conf هم لولي، پداسې حال کې چې د systemd د sysctl.d ترتیب بشپړ بل ډول دی۔ وروسته ټاکنه کېدای شي هماغه کیلي سمدلاسه بیرته کېږدي، ستاسو فایل سم خو اغېزناک ارزښت غلط پاتې شي۔ د دې بحث د ګټلو لپاره شته مدیر فایل مه بیا لیکئ؛ مالک ومومئ او هماغه ځای بدل کړئ۔

له بوټ وروسته جوړه شوې نومتش د کوربه drop-in له خوا هېڅ نه اداره کېږي۔ د هغې تنظیم هغه څه پورې اړه لري چې هغه جوړوي، که د کنټینر رنټایم وي یا د نومتش د چمتو کولو واحد۔ کنټینر ته پراخ کوربه امتیازات ورکول ترڅو له پوښتنې څخه وتښتئ، د سم مالک د پېژندلو لپاره لس دقیقې لګولو څخه بدتره معامله ده۔

له بدلولو مخکې پوه شئ چې سویچ څه لګښت لري

ip_forward بې زیانه بولین نه دی۔ د کرنل مستندات یادوي چې د هغې بدلول څو نور IPv4 پارامیټرونه د کوربه یا رالېږدوونکي اصلي ارزښتونو ته بیا تنظیموي، نو تشخیصي بدلون کېدای شي بل ځای کې شوې تنظیم ګوښه کړي او هېڅکله یې یادونه هم ونه کړي۔ د هغې سره د اړخیزو اغېزو سره د ترتیباتو بدلون په توګه چلند وکړئ نه د هغې ازموینې په توګه چې په بې احتیاطۍ سره ترسره کېدای شي۔

دا هم هغه بندوي چې هر کله کارن کوربه ته نه رسېږي هغه بند او فعال کړئ۔ که ارزښت لا دمخه یو وي، نیمګړتیا په بل ځای کې ده، او د هماغه کیلي دریم ځل بیا لیکل به یې ونه خوځوي۔

تلپاتېوالی ثابت کړئ، بیا د مسیر پاتې برخه وازموئ

ارزښت په څلورو شېبو کې بیرته ولولئ: سمدلاسه له بدلون وروسته، د VPN برخې له ښکارېدو وروسته، له بیا نښلېدو وروسته، او له پلان شوې بیا پیلېدو وروسته۔ هغه ارزښت چې په هر یو له دغو ټکو کې بیرته ځي دوهم مالک لري، او یو بل یوځلي لیکل یې یوازې تر راتلونکې بیا پیلېدو پورې پټوي۔

فعال شوی لېږد لا هم درې شیان د تایید لپاره پرېږدي۔ کارن ته د منزل مسیر ته اړتیا ده، ګېټوې ته بل مسیر او د هغې د کارولو اجازه ته اړتیا ده، او منزل ته د کارن د تونل پت ته د بیرته راستنېدو لار ته اړتیا ده۔ شخصي لېږد شوې LAN په اتوماتيک ډول NAT ته اړتیا نه لري، نو مخکې له دې چې پوه شئ کومه درېیمه نیمګړې ده masquerading مه ورزیاتوئ، او له ګېټوې څخه نه بلکې له ټاکل شوي کارن څخه وازموئ، ځکه چې په ګېټوې کې پیل شوې غوښتنه هېڅکله هغه لېږد مسیر نه لمس کوي چې تاسو همدا اوس فعال کړی۔ IPv6 خپله لېږد او لارښوونې پالیسي لري، نو کار کوونکې IPv4 ازموینه د هغې په اړه هېڅ نه وایي۔

د drop-in مسیر، د نومتش مالک او د بیرته لوستلو حکم په runbook کې یو ځای وساتئ۔ بل څوک چې دا واخلي باید ارزښت ولولي، وویني چې مالک یې څوک دی، او په یوه دقیقه کې پرېکړه وکړي چې ستونزه تلپاتېوالی ده که د مسیر پاتې برخه۔