Përgjigjet e VPN në Linux zhduken? Kontrolloni rp_filter dhe rrugën

Kërkesat largohen nga makina, partneri i VPN përgjigjet, dhe përgjigjja nuk arrin kurrë në soket. Tuneli është lart, regjistrat e partnerit tregojnë se paketa po dërgohet, dhe asgjë në aplikacion nuk e shpjegon heshtjen. Në Linux një nga të dyshuarit e zakonshëm është filtrimi i shtegut të kthimit: një paketë IPv4 hyrëse mund të refuzohet kur validimi i burimit nuk përputhet me rrugën që kernel-i pret për atë burim. Kalimi me radhë ju tregon nëse është kjo shkaku apo rastësi. Gjithashtu ju mban nga çaktivizimi i një kontrolli sigurie për të rregulluar një rrugë që mungon.

Çfarë vendos validimi i burimit

Kernel-i kontrollon nëse adresa e burimit e paketës është e besueshme për ndërfaqen nga e cila mbërriti, duke konsultuar tabelën e rrugëtimit për një rrugë kthimi te ai burim. Nëse rruga e kundërt tregon diku tjetër, paketa mund të hidhet poshtë përpara se ndonjë rregull muri zjarri ose soket aplikacioni ta shohë. Ky kontroll ekziston për t'i bërë më të vështira disa modele falsifikimi, dhe për këtë arsye modelet asimetrike dhe ato të rrugëtuara sipas politikës përplasen me të, ndërsa çdo klient i zakonshëm në të njëjtin rrjet punon mirë. Klientët e zakonshëm kanë rrugëtim simetrik, që është pikërisht ajo që supozon kontrolli.

Fjala e rëndësishme është e besueshme. Paketa mund të jetë plotësisht e ligjshme dhe gjithsesi të dështojë në kontroll, sepse nuk testohet ligjshmëria.

Lexoni mënyrën efektive, jo një fushë

Ekzistojnë tre mënyra: e çaktivizuar, e rreptë dhe e lirshme. E rrepta imponon një pritje rrugëtimi të ndryshme nga e lirshmja, dhe cilësimi global ndërvepron me ato për çdo ndërfaqe, prandaj leximi i një skedari të vetëm mund të përshkruajë gabimisht atë që është në fuqi. Lexoni të dyja, dhe lexoni ato në ndërfaqen që merr përgjigjen, jo në ndërfaqen e rrugës së paracaktuar.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Kërkimi i rrugës në atë rreshtin e tretë është pjesa që njerëzit e kapërcejnë. Ai ju thotë çfarë mendon kernel-i për burimin, dhe ky është pikërisht hyrja e kontrollit.

Gjeni mospërputhjen përpara se të ndryshoni kontrollin

Zbuloni pse përgjigjja mbërrin në atë ndërfaqe dhe nëse rruga e saj e kundërt duhet të jetë e ndryshme. Një rregull politike që i dërgon kërkesat nga një shteg ndërsa përgjigjet kthehen nga një tjetër është një projekt i ligjshëm, dhe është gjithashtu projekti që validimi i rreptë refuzon. Shenjat e përdorura në rrugëtimin sipas politikës mund të kenë rëndësi edhe këtu, sepse ndryshojnë atë që kthen kërkimi i kundërt.

Nëse rruga e kundërt thjesht mungon, shtimi i saj rregullon shkakun në vend që të çaktivizojë një kontroll. Një rrugë që mungon, një refuzim i murit të zjarrit dhe një përzgjedhës i gabuar i trafikut prodhojnë të njëjtin simptomë të dukshme, dhe vetëm njëri prej tyre ka të bëjë me validimin e burimit.

Mos i çaktivizoni kontrollet e burimit globalisht si reagim i parë. Kjo shkëmben një diagnozë specifike me një ndryshim të gjerë sjelljeje që do t'ju duhet ta mbani mend më vonë.

Një rregullim selektiv që mund ta mbrosh

Nëse një rregullim i ngushtë është vërtet i nevojshëm, kufizojeni atë në ndërfaqen që ka nevojë, shkruani pse, dhe vendoseni në konfigurimin që zotëron atë ndërfaqe që të mbijetojë një rindezje. Pastaj ritestoni pikërisht atë rrjedhë që dështoi, nga i njëjti burim në të njëjtin destinacion, në vend të një ping drejt diçkaje të përshtatshme.

Përfshini një rast që duhet të refuzohet akoma. Nëse ai rast tani përfton sukses, rregullimi dobësoi më shumë sesa shtegu i vetëm që donit të rregullonit.

Mbani IPv4 dhe IPv6 të ndara

Një sysctl me pamje të njohur nuk është politikë për çdo familje adresash. IPv6 ka sjelljen dhe cilësimet e veta, dhe një makinë mund të jetë e rreptë në një familje dhe e lehtë në tjetrën pa e vënë re askush derisa një destinacion i caktuar të dështojë. Kontrolloni të dyja nëse ngarkesa e punës përdor të dyja.

Regjistroni mënyrën, ndërfaqen, daljen e kërkimit të rrugës dhe arsyen e ndryshimit në një vend. Personi tjetër do të gjejë cilësimin dhe asnjë shpjegim, dhe ose do ta heqë, ose do ta kopjojë diku ku nuk i takon.