Fanya upelekaji wa IPv4 udumu baada ya lango la VPN kuanzishwa upya

Ping kwa lango inafanya kazi lakini kufikia kitu chochote kilicho nyuma yake hakifanyi kazi, na hii ni sura ya tatizo la upelekaji na si tatizo la handaki. Uwasilishaji wa ndani kwa lango unathibitisha kwamba handaki liliinuka na ugawaji wa anwani ulifanya kazi; haisemi chochote kuhusu kama kerneli itapitisha pakiti kutoka kiolesura kimoja hadi kingine. Kabla ya kugusa sysctl yoyote, thibitisha kwamba mashine imekusudiwa kuelekeza trafiki hii na tafuta muktadha wa mtandao unaoshikilia kiolesura kinachoelekea mteja. Kisha soma thamani hapo, si pale ambapo mwongozo wa mwisho uliosoma ulitazama kwa bahati.

Kufikia lango si sawa na upelekaji

Ndani ya kerneli hufanyika maamuzi mawili tofauti. Uwasilishaji kwa anwani ya ndani unamaliza safari ya pakiti; upelekaji huituma tena nje kupitia kiolesura kingine, na uamuzi huo wa pili unadhibitiwa kwa kila nafasi ya majina ya mtandao. Lango linaweza kufikiwa kabisa wakati upelekaji umezimwa, na kutoka kwa kidokezo cha ping hitilafu hizo mbili zinaonekana sawa.

Andika ni kiolesura kipi pakiti ya mteja inaingia na ni kiolesura kipi njia inayofuata inatoka. Vyote viwili ni vya nafasi moja ya majina, na nafasi hiyo ya majina inashikilia mpangilio unaojalisha.

Soma thamani pale pakiti zilipo kweli

Kwenye lango linaloelekeza katika nafasi ya majina ya mwenyeji, amri moja hujibu swali: sysctl net.ipv4.ip_forward. Wakati njia ya kuingia na inayofuata zinaishi katika nafasi ya majina yenye jina, uliza nafasi hiyo ya majina: ip netns exec vpn-gw sysctl net.ipv4.ip_forward. Thamani ya mwenyeji si mbadala wa thamani ya nafasi ya majina, na moja kwa mwenyeji si uthibitisho wa kitu chochote.

Si kila muktadha wa uelekezaji una lebo unayoweza kuipa ip netns. Mazingira ya utekelezaji wa kontena na huduma huunda nafasi za majina ambazo hazisajiliwi kamwe chini ya jina rafiki, na kwa hizo unatumia zana za ukaguzi za mazingira. Badilisha vpn-gw na jina halisi, au na utaratibu wa mazingira unaofikia muktadha huo huo, na acha kukisia katika ngazi ya mwenyeji.

Ipe mpangilio mmiliki mmoja

Kwenye lango la kawaida la mwenyeji la systemd, umbo la kudumu ni faili ya drop-in yenye jina lililochaguliwa na msimamizi kama /etc/sysctl.d/60-vpn-forwarding.conf, iliyo na net.ipv4.ip_forward = 1. Andika faili, kisha pakia faili hiyo mahususi ili hali hai ibadilike pia: sudo sysctl -p /etc/sysctl.d/60-vpn-forwarding.conf, ikifuatiwa na usomaji wa kurudi. Jina la faili ni mfano na si njia ya VPN iliyohifadhiwa, na namba ya mwanzo ni muhimu kwa sababu faili zilizopangwa baadaye hushinda.

Kipaumbele ni pale udumu unapovunjika kwa utulivu. Angalia kipakiaji cha usambazaji na drop-in yako mwenyewe, kwa sababu procps sysctl --system mwishoni husoma pia /etc/sysctl.conf, wakati mpangilio wa sysctl.d wa systemd ni mfuatano tofauti kabisa. Ugawaji wa baadaye unaweza kurudisha ufunguo huo huo papo hapo, ukiacha faili yako sawa na thamani inayofaa si sawa. Usiandike juu ya faili ya msimamizi iliyopo ili kushinda mjadala huo; tafuta mmiliki na ubadilishe hapo.

Nafasi ya majina iliyoundwa baada ya kuwasha haiendeshwi kabisa na drop-in ya mwenyeji. Mpangilio wake ni wa kile kinachoiumba, iwe ni mazingira ya utekelezaji wa kontena au kitengo cha utoaji wa nafasi ya majina. Kumwongezea kontena haki pana za mwenyeji ili kuepuka swali ni biashara mbaya kuliko kutumia dakika kumi kutambua mmiliki sahihi.

Jua gharama ya swichi kabla ya kuigeuza

ip_forward si boolean isiyo na madhara. Nyaraka za kerneli zinabainisha kwamba kuibadilisha huweka upya vigezo vingine kadhaa vya IPv4 kwenye chaguo-msingi za mwenyeji au kipanga njia, kwa hivyo kugeuza kwa ajili ya uchunguzi kunaweza kutupa urekebishaji uliofanywa mahali pengine na hata usiutaje. Ichukulie kama mabadiliko ya usanidi yenye athari za pembeni na si kama jaribio la kuendesha kizembe.

Hilo pia huondoa kuizima na kuiwasha kila mara mteja anaposhindwa kufikia mwenyeji. Ikiwa thamani tayari ni moja, hitilafu iko sehemu nyingine ya njia, na kuandika tena ufunguo huo kwa mara ya tatu hakutaisogeza.

Thibitisha udumu, kisha jaribu sehemu iliyobaki ya njia

Soma thamani tena kwa nyakati nne: mara moja baada ya mabadiliko, baada ya kiolesura cha VPN kuonekana, baada ya kuunganishwa tena, na baada ya kuanzishwa upya kulikopangwa. Thamani inayorudi nyuma katika mojawapo ya pointi hizo ina mmiliki wa pili, na uandishi mmoja zaidi wa mara moja huificha tu hadi kuwasha upya kunakofuata.

Upelekaji uliowezeshwa bado unaacha mambo matatu ya kuthibitisha. Mteja anahitaji njia hadi lengwa, lango linahitaji njia inayofuata pamoja na ruhusa ya kuitumia, na lengo linahitaji njia ya kurudi hadi anwani ya handaki ya mteja. LAN ya kibinafsi iliyoelekezwa haiitaji NAT kiotomatiki, kwa hivyo usiongeze masquerading kabla ya kujua ni ipi kati ya hizo tatu haipo, na jaribu kutoka kwa mteja aliyekusudiwa na si kutoka kwa lango lenyewe, kwa sababu ombi lililoanzia kwenye lango haliwezi kamwe kugusa njia ya upelekaji uliyoiwezesha hivi punde. IPv6 ina sera yake ya upelekaji na uelekezaji, kwa hivyo jaribio la IPv4 linalofanya kazi halisemi chochote kuihusu.

Weka pamoja katika runbook njia ya drop-in, mmiliki wa nafasi ya majina na amri ya usomaji wa kurudi. Yeyote atakayeichukua baadaye anapaswa kuweza kusoma thamani, kuona mmiliki wake, na kuamua ndani ya dakika moja kama tatizo ni udumu au sehemu iliyobaki ya njia.