அலுவலக LAN இல் VPN வாடிக்கையாளர் ஒவ்வொரு பதிலையும் இழப்பது ஏன்
அலுவலக LAN இலும் அதே துணை வலையமைப்பின் சுரங்கப்பாதையிலும் உள்ள மடிக்கணினி தவறான இடைமுகத்திலிருந்து பதிலளிக்கிறது. தளர்வான தலைகீழ் பாதை வடிகட்டல் இந்த அமைதியை விளக்குகிறது.
ஒரு மடிக்கணினி ஈதர்நெட் வழியாக அலுவலகத்தின் /24 இல் அமர்ந்துள்ளது, அதே /24 இல் வாழும் OpenVPN சேவையகத்திலும் சேர்கிறது. ஒரு சக ஊழியர் சுரங்கப்பாதை முகவரிக்கு பிங் செய்கிறார்; கோரிக்கை தெளிவாக வந்து சேர்கிறது, எதுவும் திரும்பி வரவில்லை. சுரங்கப்பாதை பதிவு சுத்தமாக உள்ளது, உலாவல் இன்னும் வேலை செய்கிறது, எனவே சுரங்கப்பாதை தவறான சந்தேக நபர். பெறும் இயந்திரத்தில் IPv4 மூல சரிபார்ப்பு எதுவும் படிக்கும் முன்பே பொதியை வீசி எறிகிறது.
எதுவும் பொதியை படிக்கும் முன்பே வீசி எறிதல் நடக்கிறது
மூல சரிபார்ப்பு வரும் ஒவ்வொரு பொதியைப் பற்றியும் ஒரு கேள்வி கேட்கிறது: இந்த புரவலன் அந்த மூலத்திற்கு பதிலளித்தால், பதில் பொதி இப்போது வந்த இடைமுகம் வழியாகவே வெளியேறுமா? பதில் இல்லை என்றால், கர்னல் பொதி வந்தவுடன் வீசி எறிகிறது. எந்த சாக்கெட்டும் அனுப்பு பாதையும் அதை ஒருபோதும் பார்ப்பதில்லை, அதனால் சுரங்கப்பாதையில் எடுக்கும் பதிவு பயன்பாடு ஒருபோதும் பெறாத கோரிக்கையை இன்னும் பதிவு செய்கிறது.
இங்கே வாடிக்கையாளர் தனது சுரங்கப்பாதையில் 10.66.0.9 வைத்திருக்கிறார், OpenVPN சேவையகம் அலுவலக முன்னொட்டுக்குள் 192.168.80.10 இல் இருந்து பதிலளிக்கிறது. 192.168.80.25 இல் உள்ள சக ஊழியர் சுரங்கப்பாதை முகவரிக்கு பிங் செய்கிறார், எனவே கோரிக்கை LAN ஐக் கடக்கிறது, சேவையகம் அதை சுரங்கப்பாதைக்கு அனுப்புகிறது, அது அலுவலக மூல முகவரியை ஏந்தி வாடிக்கையாளரின் சுரங்கப்பாதை இடைமுகத்தை அடைகிறது. அந்த இயந்திரத்தின் வழிப்பாதை அட்டவணையில் அலுவலக முன்னொட்டு ஈதர்நெட் சாதனத்திற்குச் சொந்தம், சுரங்கப்பாதைக்கு அல்ல. சரிபார்ப்பு வருகை இடைமுகத்தை வழியுடன் ஒப்பிட்டு, முரண்பாட்டைக் கண்டு பொதியை வீசி எறிகிறது, எனவே இரு முனைகளும் ஆரோக்கியமான சுரங்கப்பாதையைத் தெரிவிக்கும்போது சக ஊழியர் முழு இழப்பைக் காண்கிறார்.
கண்ணாடி திசைக்கும் அதே வடிவம்: வாடிக்கையாளர் அலுவலகத்தை நோக்கித் தொடங்கும்போது, அதே காரணத்தால் அலுவலகப் பக்கத்தில் பதில்கள் வீசப்பட்டு எறியப்படலாம். ஒரு திசையில் மட்டும் சோதிக்கப்பட்ட திருத்தம் பொதுவாக இரண்டாவது புகாராகத் திரும்புகிறது.
எந்த sysctl ஐயும் தொடுவதற்கு முன் நடைமுறையில் உள்ள பயன்முறையை நிரூபிக்கவும்
விநியோகத்தின் இயல்புநிலையை நம்புவதற்குப் பதிலாக உண்மையான மதிப்புகளைப் படியுங்கள், ஏனெனில் இடைமுகத்திற்கான அமைப்பு முடிவின் பாதி மட்டுமே. நடைமுறையில் உள்ள பயன்முறை இடைமுக மதிப்பும் all மதிப்பும் இடையே உள்ள உயர்ந்தது, எனவே all ஒன்றாக இருக்கும் வரை சுரங்கப்பாதை இடைமுகத்தில் பூஜ்யம் எதையும் குறிக்காது. கடுமையான பயன்முறையின் முடிவு வழிப்பாதை முடிவு, எனவே கர்னல் செய்யும் தேடலைச் செய்து அதன் பதிலை பொதி உண்மையில் வந்த இடைமுகத்துடன் ஒப்பிடுங்கள்.
tcpdump -ni tun0 icmp and host 192.168.80.25
ip route get 192.168.80.25
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.tun0.rp_filterபிறகு பிழை எண்ணியைப் பார்த்துக்கொண்டு பிங்கை மீண்டும் செய்யுங்கள். பதிவு ஏற்கனவே காட்டும் கோரிக்கைக்கு அருகில் ஏறும் எண்ணிக்கை இந்த வீசியெறிதலின் கையெழுத்து, காணாமல் போன வழியின் அல்ல. அங்கு இருக்கும்போது செவ்வாய்க் கோள் பொதி பதிவை இயக்குங்கள், கர்னல் நிராகரித்த மூலத்தையும் இடைமுகத்தையும் பெயரிடும். ஒன்றாக அவை மறையீடு, தீச்சுவர், காணாமல் போன iroute ஆகியவற்றை விளக்கங்களிலிருந்து நீக்குகின்றன.
எதையும் மாற்றுவதற்கு முன் அடிப்படை வரியை எழுதுங்கள்: இரு மதிப்புகளும், தேடல் தேர்ந்தெடுத்த சாதனமும், நீங்கள் கவனித்த எண்ணியும். மாற்றம் நீங்கள் நினைத்ததைச் செய்ததா என்பதைப் பிறகு சொல்வது அந்தப் பதிவே.
ஒவ்வொரு rp_filter பயன்முறையும் உண்மையில் எதை ஏற்கிறது
கர்னல் ஒவ்வொரு இடைமுகத்திற்கும் மூன்று மதிப்புகளைக் காட்டுகிறது, அவை ஒரு விதியின் மூன்று சாயல்கள் அல்ல. பூஜ்யம் சரிபார்ப்பை முடக்குகிறது. ஒன்று கடுமையானது, மூலம் வருகை இடைமுகம் வழியாகத் திரும்பிச் செல்ல வேண்டும் எனக் கோருகிறது. இரண்டு தளர்வானது, அட்டவணையில் மூலத்திற்கு ஏதேனும் வழி இருந்தால் போதும் எனக் கோருகிறது, அது எங்கு சுட்டினாலும்.
| Value | Name | Accepts | Still rejects |
|---|---|---|---|
| 0 | off | any source at all | nothing on this check |
| 1 | strict | a source routed back out the arrival interface | a source whose route points elsewhere |
| 2 | loose | a source with any route in the table | a source with no route at all |
இங்கே முக்கியமான வரி தளர்வானது, அது இன்னும் நிராகரிப்பது. உங்கள் அட்டவணையில் எங்கும் வழிப்பாதை அமைக்கக்கூடிய போலி மூலம் கடக்கிறது, எந்த வழியும் இல்லாத மூலம் இன்னும் நிராகரிக்கப்படுகிறது. மடிக்கணினியில் இது குறுகிய சலுகை; மற்றவர்களின் போக்குவரத்தை அனுப்பும் திசைவியில் இது அகலமானது. பயன்முறை புரவலனுக்கு உரியது, எனவே அதே எண் இரு இடங்களில் வெவ்வேறு எடையைச் சுமக்கிறது.
இந்த வலையமைப்பு அமைப்பிற்கு எந்த வரி தேவை என்பது பழக்கத்திலிருந்து அல்ல, அட்டவணையிலிருந்து வருகிறது. பொதி சட்டபூர்வமானது, அதன் மூலம் வழிப்பாதை அமைக்கக்கூடியது, எனவே தளர்வானது ஏற்கிறது, கடுமையானது ஏற்கவில்லை. இந்த வழக்கில் எதுவும் பூஜ்யத்தைக் கோரவில்லை, பூஜ்யத்தைத் தேர்ந்தெடுத்தால் இங்கே எதுவும் செலவாகாத சரிபார்ப்பு நீங்கும்.
தெளிவின்மையை நீக்கும் மிகச் சிறிய மாற்றத்தைத் தேர்ந்தெடுங்கள்
தளர்வான பயன்முறை பொருந்தும் மிகச் சிறிய மாற்றம், அது தீங்கற்ற சுவிட்சு அல்ல, கடுமையின் உண்மையான குறைவு. வலையமைப்பு அமைப்பு அனுமதிக்கும் போதெல்லாம் சிறந்த விருப்பம் உள்ளது: மேற்பொருந்தலை நீக்குங்கள், தெளிவின்மை மறைகிறது.
அலுவலக முன்னொட்டு ஈதர்நெட் வழியாக மட்டுமே தேவைப்படும் இடத்தில், விவரக்குறிப்பு இழுக்கும் வழிகளிலிருந்து அதை நீக்குங்கள், முகவரி ஒரே பாதையில் அடையக்கூடியதாகும். இரு பாதைகளும் உண்மையில் சேர்ந்திருக்க வேண்டும் என்றால், ஒவ்வொரு இடைமுகத்திலும் சரிபார்ப்பைத் தளர்த்துவதற்குப் பதிலாகக் கொள்கை விதியால் மூலத்தையும் சாதனத்தையும் பிணைக்கவும். இது இயந்திரத்தில் மற்ற அனைத்திற்கும் கடுமையான வடிகட்டலை வைத்திருக்கிறது, விதிவிலக்கை அடுத்த பொறியாளர் தேடும் இடத்தில் ஆவணப்படுத்துகிறது.
எந்தப் பாதையைத் தேர்ந்தெடுத்தாலும், அதை நேரடி கட்டளையில் அல்ல, sysctl drop-in இல் பதிவு செய்யுங்கள். all மற்றும் default விசைகளை ஒன்றாக அமைக்கவும், மீண்டும் இணைவது கடுமையான பயன்முறையை அமைதியாக மீட்டெடுக்க முடியாதபடி.
# /etc/sysctl.d/99-rp-filter.conf
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
sysctl --systemதளர்வான பயன்முறை எதை விட்டுக்கொடுக்கிறது, எங்கே
தளர்வான பயன்முறை எந்த வழியும் அடையாத மூலத்தை இன்னும் நிராகரிக்கிறது, தற்செயலாக வழிப்பாதை அமைக்கக்கூடிய போலி மூலத்தை நிராகரிப்பதை நிறுத்துகிறது. மடிக்கணினியில் இது குறுகிய சலுகை. தனக்குச் சொந்தமில்லாத போக்குவரத்தை அனுப்பும் சாதனத்தில் அதே தேர்வு மிக அகலமானது. எனவே அதே அமைப்பு எங்கு இயங்குகிறது என்பதைப் பொறுத்து இரண்டு மிக வேறுபட்ட பொருள்களைக் கொண்டுள்ளது.
மற்றவர்களுக்காகப் போக்குவரத்தை அனுப்பும் புரவலனில் சரிபார்ப்பை முழுவதுமாக அணைப்பதே தவிர்க்க வேண்டிய ஒரே திருத்தம். பூஜ்யம் தளர்வான பயன்முறை கவனமாக வைத்திருக்கும் சரிபார்ப்பை வீசி எறிகிறது. புரவலன் மற்றவர்களுக்காக அனுப்பினால், அதற்குப் பதிலாக முந்தைய பிரிவின் கொள்கை விதி விருப்பத்தை ஆதரியுங்கள்.
இரு இடைமுகங்கள், மேற்பொருந்தும் முன்னொட்டு, இப்போது வெற்றிபெறும் துல்லியமான சோதனை ஆகியவற்றைப் பெயரிடும் குறிப்பை விடுங்கள். வடிகட்டல் சரிசெய்யப்பட்டது என்ற வரியை விட இது அடுத்த பொறியாளருக்கு மிகவும் பயனுள்ளது.