Bakit paulit-ulit na umaalis ang iyong interface ng VPN sa zone nito sa firewalld

Idinadagdag mo ang tun0 sa tamang zone, nagsisimulang gumana ang application, at naglalaho ang pagwawasto sa susunod na muling pagkonekta. Gumagana ang muling pagpapatakbo ng parehong utos, na nagpapamukhang nakalimutan ito ng firewalld. Hindi ito nakalimot; may isang bagay na may mas malakas na pag-angkin sa interface na iyon na muling nagtalaga nito.

Nananatili ang zone hanggang muling magawa ang interface

Ang pagtatalaga ng zone ng firewalld sa isang interface ay isang pagbubuklod, at ang mga pagbubuklod ay nakatali sa object ng interface gaya ng umiiral ito ngayon. Ang kliyenteng VPN na sumisira sa device at muling gumagawa nito ay gumagawa ng bagong object, at ang bago ay nagsisimula sa sinasabi ng component na nagtatalaga. Iyon ang dahilan kung bakit paulit-ulit ang sintomas sa bawat muling pagkonekta at hindi sa bawat packet.

Ang parehong lohika ang nagpapaliwanag ng pag-uugali sa reboot: hindi nakakaligtas ang mga runtime na pagbubuklod sa restart, at ang mga permanenteng pagbubuklod ay nalalapat lamang sa mga device na inaakala ng firewalld na pag-aari nito.

Bago magbago ng anuman, alamin kung aling component ang nagtatalaga ng zone.

Magbasa ng tatlong bagay bago magbago ng anuman

Itala ang zone na mayroon ang interface ngayon, ang mga aktibong zone kasama ang kanilang mga interface, at ang permanenteng listahan ng interface para sa zone na nilalayon mo. Patakbuhin ang mga query na iyon bago ang pagbabago, pagkatapos ng isang muling pagkonekta at pagkatapos ng isang reboot. Sinasabi ng paghahambing ng tatlong resulta kung pinapalitan, binabalewala, o pinapairal lamang nang huli ang pagbubuklod. Kung pinapangalanan na ng permanenteng listahan ang device habang hindi tumutugma ang runtime zone, may isang bagay na lumalampas sa iyong pag-edit.

Itala rin ang tunay na pangalan ng device sa bawat hakbang, dahil ang tunnel na dumarating sa tun0 ngayon ay maaaring dumarating sa tun1 bukas.

Ang naka-save na pagbubuklod sa isang pangkalahatang pangalan ay hindi pagsusuri ng pagkakakilanlan, at ang dalawang minutong pagtatala ay nagtitipid ng isang oras na paghula.

Kapag pag-aari ng NetworkManager ang koneksyon

Kung pinamamahalaan ng NetworkManager ang koneksyon ng VPN, dinadala ng profile nito ang zone at ipinapasa ito sa firewalld kapag na-activate ang koneksyon. Ang permanenteng pagbubuklod ng interface sa firewalld para sa parehong device ay maaaring balewalain, dahil NetworkManager ang may-ari. Itakda ang zone sa koneksyon, at tiyakin na ine-edit mo ang profile ng VPN at hindi isang walang kaugnayang pisikal na koneksyon o pansamantalang rekord.

Ang pagbabago sa property na iyon ay maaaring makaapekto agad sa isang aktibong koneksyon.

Panatilihing magagamit ang isang landas ng pamamahala at basahin ang patakaran ng patutunguhang zone bago ito ilapat. Ang pag-edit sa field na ZONE ng isang file na ifcfg ay tama lamang kung saan ang file na iyon ang pinagmumulan pa ng configuration.

Kapag pag-aari ng firewalld ang pagbubuklod

Para sa isang nakapirming tunnel na may sadyang matatag na pangalan ng interface, ang permanenteng pagbabago ng interface ang tamang kasangkapan. Ilapat ito sa pamamagitan ng reload o lifecycle na ginagamit ng iyong deployment, pagkatapos ay siyasatin ang runtime state, dahil inilalarawan ng permanenteng-only na pag-edit ang intensyon at hindi ang aktibo. Maaaring magkaiba ang dalawa hangga't tumatagal ang isang reload.

Kung dinamiko ang pangalan ng interface, panatilihin ang pagtatalaga sa buong lifecycle ng koneksyon sa halip na makipagkarera sa alinmang tunnel na unang nagsasabi ng pangalan.

Huwag itapon ang interface sa trusted para lang gumana ang application.

Subukan ang reload, ang muling pagkonekta at ang reboot

Ang isang pagbabago ay tapos lamang kapag nakaligtas ito sa tatlo.

Mag-reload muna, dahil doon nawawala ang mga pag-edit na runtime lamang. Pagkatapos ay muling ikonekta ang tunnel, dahil doon nawawala ng pinalitan na interface ang pagbubuklod nito. Pagkatapos ay mag-reboot, dahil doon lumilitaw sa wakas ang pagkakaiba ng may-ari. Itala ang zone sa bawat yugto at ihambing ito sa intensyon na isinulat mo, at tandaan kung aling hakbang ang gumawa ng pagkakaiba.

Kung tama ang zone at nabigo pa rin ang application, ang problema ay nasa mga patakaran ng zone o sa klasipikasyong nakabatay sa pinagmulan, hindi sa pagiging miyembro. Ang dokumentasyon ng firewalld tungkol sa mga koneksyon at interface ang sanggunian sa kung paano dapat gumana ang pagmamay-ari.

Isulat ang may-ari, ang halaga at ang inaasahang resulta sa runbook, at ang susunod na pagtatalaga ay maipapaliwanag.