Nawawala ang mga sagot ng Linux VPN? Suriin ang rp_filter at ang ruta

Umalis ang mga kahilingan sa makina, sumasagot ang kapares ng VPN, at hindi kailanman nakarating ang sagot sa socket. Nakataas ang tunnel, ipinapakita ng mga log ng kapares na ipinapadala ang packet, at walang anuman sa aplikasyon ang nagpapaliwanag ng katahimikan. Sa Linux isa sa mga karaniwang pinaghihinalaan ay ang pag-filter ng pabalik na landas: maaaring tanggihan ang papasok na packet ng IPv4 kapag hindi tugma ang pagpapatunay ng pinagmulan sa rutang inaasahan ng kernel para sa pinagmulang iyon. Ang pagsunod dito nang sunud-sunod ay nagsasabi kung ito ang dahilan o isang pagkakataon. Pinipigilan ka rin nitong patayin ang isang kontrol sa seguridad para ayusin ang nawawalang ruta.

Ano ang pinagpapasyahan ng pagpapatunay ng pinagmulan

Sinusuri ng kernel kung kapani-paniwala ang source address ng packet para sa interface kung saan ito dumating, sa pamamagitan ng pagtingin sa routing table para sa rutang pabalik sa pinagmulang iyon. Kung ang pabalik na ruta ay tumuturo sa ibang lugar, maaaring itapon ang packet bago pa ito makita ng anumang patakaran ng firewall o socket ng aplikasyon. Umiiral ang pagsusuring iyon para pahirapan ang ilang pattern ng spoofing, at iyon din ang dahilan kung bakit nadadapa rito ang mga disenyong asimetriko at naka-routing ayon sa patakaran habang maayos na gumagana ang bawat ordinaryong kliyente sa parehong network. Ang mga ordinaryong kliyente ay may simetrikong routing, at iyon mismo ang ipinapalagay ng pagsusuri.

Ang mahalagang salita ay kapani-paniwala. Maaaring ganap na lehitimo ang packet at mabigo pa rin sa pagsusuri, dahil hindi ang lehitimasiya ang sinusubok.

Basahin ang aktwal na mode, hindi isang field lang

May tatlong mode: naka-disable, mahigpit at maluwag. Ang mahigpit ay nagpapatupad ng ibang inaasahan sa ruta kaysa maluwag, at ang pandaigdigang setting ay nakikipag-ugnayan sa mga setting ng bawat interface, kaya ang pagbasa ng isang file ay maaaring mali ang paglalarawan sa aktwal na umiiral. Basahin ang dalawa, at basahin ang mga ito sa interface na tumatanggap ng sagot, hindi sa interface ng default na ruta.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Ang paghahanap ng ruta sa ikatlong linyang iyon ang bahaging nilalaktawan ng mga tao. Sinasabi nito kung ano ang iniisip ng kernel tungkol sa pinagmulan, at iyon mismo ang input ng pagsusuri.

Hanapin ang pagkakaiba bago baguhin ang pagsusuri

Alamin kung bakit dumarating ang sagot sa interface na iyon at kung dapat bang iba ang pabalik na ruta nito. Ang patakaran na nagpapadala ng mga kahilingan sa isang landas habang bumabalik ang mga sagot sa iba ay isang lehitimong disenyo, at iyon din ang disenyong tinatanggihan ng mahigpit na pagpapatunay. Maaari ring mahalaga rito ang mga markang ginagamit sa routing ayon sa patakaran, dahil binabago nila ang ibinabalik ng pabalik na paghahanap.

Kung talagang nawawala ang pabalik na ruta, inaayos ng pagdaragdag nito ang dahilan sa halip na patayin ang pagsusuri. Nawawalang ruta, pagtanggi ng firewall at maling tagapili ng trapiko—lahat ay nagbubunga ng parehong nakikitang sintomas, at isa lamang sa mga ito ang tungkol sa pagpapatunay ng pinagmulan.

Huwag patayin ang mga pagsusuri ng pinagmulan nang pandaigdigan bilang unang reaksiyon. Ipinagpapalit niyon ang partikular na diagnosis para sa malawak na pagbabago ng pag-uugali na kailangan mong tandaan mamaya.

Isang piling pagsasaayos na maipagtatanggol mo

Kung talagang kailangan ang makitid na pagsasaayos, limitahan ito sa interface na nangangailangan, isulat kung bakit, at ilagay ito sa configuration na nagmamay-ari ng interface na iyon upang manatili pagkatapos ng reboot. Pagkatapos ay subukan muli ang eksaktong daloy na nabigo, mula sa parehong pinagmulan patungo sa parehong destinasyon, sa halip na ping sa isang maginhawang bagay.

Isama ang isang kaso na dapat pa ring tanggihan. Kung nagtagumpay na ang kasong iyon ngayon, pinahina ng pagsasaayos ang higit pa sa isang landas na nais mong ayusin.

Panatilihing hiwalay ang IPv4 at IPv6

Ang sysctl na mukhang pamilyar ay hindi patakaran para sa bawat pamilya ng address. May sariling pag-uugali at sariling setting ang IPv6, at ang isang makina ay maaaring mahigpit sa isang pamilya at mapagbigay sa isa pa nang walang makakapansin hanggang mabigo ang isang partikular na destinasyon. Suriin ang pareho kung ginagamit ng workload ang pareho.

Itala ang mode, interface, output ng paghahanap ng ruta at dahilan ng pagbabago sa isang lugar. Hahanapin ng susunod na tao ang setting at walang paliwanag, at aalisin ito o kokopyahin sa lugar na hindi nararapat.