Zakaj vaš vmesnik VPN nenehno zapušča svojo cono firewalld

Dodate tun0 v pravo cono, aplikacija začne delovati in popravek izhlapi ob naslednji ponovni povezavi. Ponovno izvajanje istega ukaza deluje, zato je videti, kot da je firewalld pozabil. Ni pozabil; nekaj z močnejšo zahtevo po tem vmesniku ga je znova dodelilo.

Cona preživi, dokler vmesnik ni znova ustvarjen

Dodelitev cone firewalld vmesniku je vezava, vezave pa so pritrjene na objekt vmesnika takšnega, kot obstaja zdaj. Odjemalec VPN, ki napravo razdre in jo znova ustvari, ustvari nov objekt, novi pa se začne s tem, kar reče komponenta, ki dodeljuje. Zato se simptom ponavlja ob vsaki ponovni povezavi in ne ob vsakem paketu.

Ista logika pojasnjuje vedenje ob ponovnem zagonu: izvajalne vezave ne preživijo ponovnega zagona, trajne vezave pa veljajo le za naprave, za katere firewalld meni, da jih ima v lasti.

Preden karkoli spremenite, ugotovite, katera komponenta dodeljuje cono.

Preden karkoli spremenite, preberite tri stvari

Zapišite cono, ki jo ima vmesnik zdaj, dejavne cone z njihovimi vmesniki in trajni seznam vmesnikov za cono, ki jo nameravate. Te poizvedbe izvedite pred spremembo, po ponovni povezavi in po ponovnem zagonu. Primerjava treh rezultatov vam pove, ali se vezava zamenjuje, ignorira ali le pozno uporablja. Če trajni seznam že navaja napravo, medtem ko se izvajalna cona ne strinja, nekaj preglasuje vaš popravek.

V vsakem koraku zapišite tudi dejansko ime naprave, ker lahko tunel, ki danes pristane na tun0, jutri pristane na tun1.

Shranjena vezava na splošno ime ni preverjanje identitete, dve minuti zapisovanja pa prihranita uro ugibanja.

Ko povezavo poseduje NetworkManager

Če povezavo VPN upravlja NetworkManager, njen profil nosi cono in jo preda firewalld, ko se povezava aktivira. Trajno vezavo vmesnika v firewalld za isto napravo je takrat mogoče prezreti, ker je lastnik NetworkManager. Nastavite cono na povezavi in potrdite, da urejate profil VPN in ne nepovezane fizične povezave ali začasnega zapisa.

Sprememba te lastnosti lahko takoj vpliva na dejavno povezavo.

Ohranite razpoložljivo pot upravljanja in pred uporabo preberite politiko ciljne cone. Urejanje polja ZONE v datoteki ifcfg je pravilno le tam, kjer je ta datoteka še vedno vir konfiguracije.

Ko vezavo poseduje firewalld

Za samostojen tunel z namerno stabilnim imenom vmesnika je trajna sprememba vmesnika pravo orodje. Uporabite jo skozi ponovno nalaganje ali življenjski cikel, ki ga uporablja vaša namestitev, nato preglejte izvajalno stanje, ker popravek samo v trajnih nastavitvah opisuje namero in ne tega, kar je dejavno. Oba se lahko razhajata toliko časa, kolikor traja ponovno nalaganje.

Če je ime vmesnika dinamično, vzdržujte dodelitev skozi življenjski cikel povezave, namesto da bi dirkali s tunelom, ki ime zahteva prvi.

Vmesnika ne vrzite v trusted samo zato, da bi aplikacija delovala.

Preizkusite ponovno nalaganje, ponovno povezavo in ponovni zagon

Sprememba je končana šele, ko preživi vse tri.

Najprej znova naložite, ker tam izginejo popravki samo izvajalnega časa. Nato znova povežite tunel, ker tam zamenjani vmesnik izgubi svojo vezavo. Nato znova zaženite, ker tam se končno pokaže neujemanje lastnika. V vsaki fazi zapišite cono in jo primerjajte z namero, ki ste jo zapisali, in zabeležite, kateri korak je ustvaril razliko.

Če je cona pravilna in aplikacija vseeno ne uspe, je težava v pravilih cone ali v razvrščanju po izvoru, ne v članstvu. Dokumentacija firewalld o povezavah in vmesnikih je referenca za to, kako naj bi lastništvo delovalo.

Zapišite lastnika, vrednost in pričakovani rezultat v runbook in naslednja dodelitev bo razložljiva.