Majibu ya VPN ya Linux yanapotea? Angalia rp_filter na njia

Maombi yanaondoka kwenye mashine, mwenza wa VPN anajibu, na jibu halifiki kwenye soketi. Handaki iko juu, kumbukumbu za mwenza zinaonyesha pakiti inatumwa, na hakuna kitu kwenye programu kinachoeleza ukimya huo. Kwenye Linux mmoja wa washukiwa wa kawaida ni uchujaji wa njia ya kurudi: pakiti ya IPv4 inayoingia inaweza kukataliwa wakati uthibitishaji wa chanzo haukubaliani na njia ambayo kerneli inatarajia kwa chanzo hicho. Kuipitia kwa mpangilio kunakuambia kama hii ndiyo sababu au bahati mbaya. Pia inakuzuia kuzima udhibiti wa usalama ili kurekebisha njia inayokosekana.

Uthibitishaji wa chanzo unaamua nini

Kerneli hukagua kama anwani ya chanzo ya pakiti inaaminika kwa kiolesura ilikofikia, kwa kuangalia jedwali la uelekezaji kwa njia ya kurudi kwa chanzo hicho. Ikiwa njia ya kurudi inaelekeza mahali pengine, pakiti inaweza kutupwa kabla ya kanuni yoyote ya firewall au soketi ya programu kuiona. Ukaguzi huo upo ili kufanya mifumo fulani ya kughushi iwe ngumu zaidi, na ndiyo sababu miundo isiyolingana na ile inayoelekezwa kwa sera hukutana nao huku kila mteja wa kawaida kwenye mtandao huo akifanya kazi vizuri. Wateja wa kawaida wana uelekezaji linganifu, na ndiyo hasa ukaguzi unachodhani.

Neno muhimu ni inaaminika. Pakiti inaweza kuwa halali kabisa na bado ishindwe ukaguzi, kwa sababu kinachojaribiwa si uhalali.

Soma hali halisi, sio uwanja mmoja

Kuna hali tatu: imezimwa, kali na legevu. Kali huweka matarajio ya njia tofauti na legevu, na mpangilio wa jumla huingiliana na ule wa kila kiolesura, kwa hiyo kusoma faili moja kunaweza kueleza vibaya kinachotumika kwa kweli. Soma zote mbili, na uzisome kwenye kiolesura kinachopokea jibu, sio kwenye kiolesura cha njia chaguo-msingi.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Utafutaji wa njia kwenye mstari huo wa tatu ni sehemu ambayo watu wanairuka. Unakuambia kerneli inadhani nini kuhusu chanzo, na ndiyo pembejeo ya ukaguzi.

Pata kutokubaliana kabla ya kubadilisha ukaguzi

Tambua kwa nini jibu linafika kwenye kiolesura hicho na kama njia yake ya kurudi inapaswa kuwa tofauti. Kanuni ya sera inayotuma maombi kwa njia moja huku majibu yakirudi kwa nyingine ni muundo halali, na ndio muundo ambao uthibitishaji kali unaukataa. Alama zinazotumika katika uelekezaji wa sera zinaweza kuwa muhimu hapa pia, kwa sababu hubadilisha kile utafutaji wa kurudi unarudisha.

Ikiwa njia ya kurudi inakosekana tu, kuiongeza hurekebisha sababu badala ya kuzima ukaguzi. Njia inayokosekana, kukataliwa na firewall na kichaguzi kibaya cha trafiki vyote hutoa dalili ile ile inayoonekana, na kimoja tu kati yao kinahusu uthibitishaji wa chanzo.

Usizime ukaguzi wa chanzo kwa jumla kama jibu la kwanza. Hilo hubadilisha utambuzi maalum kwa mabadiliko mapana ya tabia ambayo utalazimika kuikumbuka baadaye.

Marekebisho teule unayoweza kuyatetea

Ikiwa marekebisho membamba yanahitajika kweli, yapunguzie kwenye kiolesura kinachohitaji, andika kwa nini, na uyaweke kwenye usanidi unaomiliki kiolesura hicho ili yaendelee baada ya kuwasha upya. Kisha jaribu tena mtiririko ule ule ulioshindwa, kutoka chanzo kile kile hadi lengo lile lile, badala ya ping kwa kitu kinachofaa.

Jumuisha kisa ambacho bado kinapaswa kukataliwa. Ikiwa kisa hicho sasa kinafanikiwa, marekebisho yalidhoofisha zaidi ya njia moja uliyokusudia kurekebisha.

Tenganisha IPv4 na IPv6

sysctl inayoonekana kawaida si sera kwa kila familia ya anwani. IPv6 ina tabia na mipangilio yake yenyewe, na mashine inaweza kuwa kali kwenye familia moja na legevu kwenye nyingine bila mtu yeyote kugundua hadi lengo fulani lishindwe. Angalia zote mbili ikiwa mzigo wa kazi unatumia zote mbili.

Andika hali, kiolesura, matokeo ya utafutaji wa njia na sababu ya mabadiliko mahali pamoja. Mtu anayefuata atapata mpangilio na hakuna maelezo, na ataoondoa au atanakili mahali ambapo hapafai.