Prečo vaše rozhranie VPN stále opúšťa svoju zónu firewalld

Pridáte tun0 do správnej zóny, aplikácia začne fungovať a oprava sa pri ďalšom opätovnom pripojení vyparí. Opätovné spustenie toho istého príkazu funguje, čo vyzerá, akoby firewalld zabudol. Nezabudol; niečo so silnejším nárokom na toto rozhranie ho priradilo znova.

Zóna prežije, kým sa rozhranie nevytvorí znova

Priradenie zóny firewalld k rozhraniu je väzba a väzby sú spojené s objektom rozhrania v podobe, v akej existuje teraz. Klient VPN, ktorý zariadenie zruší a znova vytvorí, vytvorí nový objekt a ten nový začína tým, čo povie komponent, ktorý priraďuje. Preto sa príznak opakuje pri každom opätovnom pripojení a nie pri každom pakete.

Rovnaká logika vysvetľuje správanie pri reštarte: behové väzby neprežijú reštart a trvalé väzby platia len pre zariadenia, o ktorých sa firewalld domnieva, že ich vlastní.

Skôr než čokoľvek zmeníte, zistite, ktorý komponent zónu priraďuje.

Skôr než čokoľvek zmeníte, prečítajte si tri veci

Zapíšte zónu, ktorú rozhranie práve má, aktívne zóny s ich rozhraniami a trvalý zoznam rozhraní pre zónu, ktorú zamýšľate. Tieto dopyty spustite pred zmenou, po opätovnom pripojení a po reštarte. Porovnanie troch výsledkov vám povie, či sa väzba nahrádza, ignoruje alebo len aplikuje neskoro. Ak trvalý zoznam už uvádza zariadenie, zatiaľ čo behová zóna nesúhlasí, niečo vašu úpravu prebíja.

Zapisujte aj skutočný názov zariadenia v každom kroku, pretože tunel, ktorý dnes pristane na tun0, môže zajtra pristáť na tun1.

Uložená väzba na všeobecný názov nie je kontrola identity a dve minúty zápisu ušetria hodinu hádania.

Keď je vlastníkom pripojenia NetworkManager

Ak pripojenie VPN spravuje NetworkManager, jeho profil nesie zónu a odovzdáva ju firewalld, keď sa pripojenie aktivuje. Trvalá väzba rozhrania vo firewalld pre to isté zariadenie potom môže byť ignorovaná, pretože vlastníkom je NetworkManager. Nastavte zónu na pripojení a overte, že upravujete profil VPN, a nie nesúvisiace fyzické pripojenie alebo dočasný záznam.

Zmena tejto vlastnosti môže okamžite ovplyvniť aktívne pripojenie.

Udržujte dostupnú cestu správy a pred použitím si prečítajte politiku cieľovej zóny. Úprava poľa ZONE v súbore ifcfg je správna len tam, kde je tento súbor stále zdrojom konfigurácie.

Keď je vlastníkom väzby firewalld

Pre samostatný tunel s úmyselne stabilným názvom rozhrania je trvalá zmena rozhrania správny nástroj. Použite ju cez obnovenie alebo životný cyklus, ktorý používa vaše nasadenie, a potom skontrolujte behový stav, pretože úprava len v trvalom nastavení opisuje zámer, a nie to, čo je aktívne. Obe sa môžu rozchádzať tak dlho, ako trvá obnovenie.

Ak je názov rozhrania dynamický, udržujte priradenie počas životného cyklu pripojenia namiesto pretekania s tunelom, ktorý názov získa prvý.

Nedávajte rozhranie do trusted len preto, aby aplikácia fungovala.

Otestujte obnovenie, opätovné pripojenie a reštart

Zmena je hotová, až keď prežije všetky tri.

Najprv obnovte, pretože tam miznú úpravy len v behovom stave. Potom znova pripojte tunel, pretože tam nahradené rozhranie stráca svoju väzbu. Potom reštartujte, pretože tam sa napokon ukáže nesúlad vlastníka. V každej fáze zapíšte zónu a porovnajte ju so zámerom, ktorý ste si zapísali, a poznamenajte, ktorý krok rozdiel vytvoril.

Ak je zóna správna a aplikácia napriek tomu zlyháva, problém je v pravidlách zóny alebo v klasifikácii podľa zdroja, nie v členstve. Dokumentácia firewalld o pripojeniach a rozhraniach je referenciou pre to, ako má vlastníctvo fungovať.

Zapíšte vlastníka, hodnotu a očakávaný výsledok do runbooku a nasledujúce priradenie bude vysvetliteľné.