Linux VPN javoblari yo'qolmoqda? rp_filter va marshrutni tekshiring

So'rovlar mashinadan chiqadi, VPN hamkori javob beradi, va javob hech qachon soketga yetib bormaydi. Tunnel ko'tarilgan, hamkorning jurnallari paket yuborilayotganini ko'rsatadi, va ilovada bu sukunatni tushuntiruvchi hech narsa yo'q. Linuxda odatiy gumonlanuvchilardan biri teskari yo'l filtrlashidir: kiruvchi IPv4 paketi rad etilishi mumkin, manba tekshiruvi yadro o'sha manba uchun kutgan marshrutga mos kelmasa. Uni tartib bilan ko'rib chiqish bu sababmi yoki tasodifmi ekanini aytadi. Bu, shuningdek, yo'qolgan marshrutni tuzatish uchun xavfsizlik nazoratini o'chirishdan saqlaydi.

Manba tekshiruvi nimani hal qiladi

Yadro paketning manba manzili u kirgan interfeys uchun ishonchli ekanini marshrutlash jadvalidan o'sha manbaga qaytish marshrutini izlab tekshiradi. Agar teskari marshrut boshqa joyni ko'rsatsa, paket har qanday xavfsizlik devori qoidasi yoki ilova soketi uni ko'rishidan oldin tashlab yuborilishi mumkin. Bu tekshiruv ayrim soxtalashtirish usullarini qiyinlashtirish uchun bor, va shuning uchun assimetrik hamda siyosat asosida marshrutlangan dizaynlar unga uriladi, holbuki o'sha tarmoqdagi har bir oddiy mijoz yaxshi ishlaydi. Oddiy mijozlar simmetrik marshrutlashga ega, va tekshiruv aynan shuni nazarda tutadi.

Muhim so'z ishonchli. Paket to'liq qonuniy bo'lishi va baribir tekshiruvdan o'tmay qolishi mumkin, chunki qonuniylik tekshirilmaydi.

Amaldagi rejimni o'qing, bitta maydonni emas

Uch rejim bor: o'chirilgan, qattiq va yumshoq. Qattiq yumshoqqa qaraganda boshqa marshrut kutishini yuklaydi, va global sozlama har bir interfeys sozlamalari bilan o'zaro ta'sir qiladi, shuning uchun bitta faylni o'qish amalda kuchda bo'lgan narsani noto'g'ri tasvirlashi mumkin. Ikkalasini ham o'qing va ularni javobni qabul qiladigan interfeysda o'qing, standart marshrut interfeysida emas.

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

Uchinchi satrdagi marshrut izlash odamlar o'tkazib yuboradigan qismdir. U yadro manba haqida nima deb o'ylashini aytadi, va bu aynan tekshiruvning kirishi.

Tekshiruvni o'zgartirishdan oldin nomuvofiqlikni toping

Javob nima uchun o'sha interfeysga kelishini va uning teskari marshruti boshqacha bo'lishi kerakmi yoki yo'qmi aniqlang. So'rovlarni bir yo'ldan chiqarib, javoblarni boshqa yo'ldan qaytaradigan siyosat qoidasi qonuniy dizayndir, va qattiq tekshiruv aynan shu dizaynni rad etadi. Siyosat marshrutlashda ishlatiladigan belgilar bu yerda ham muhim bo'lishi mumkin, chunki ular teskari izlash nima qaytarishini o'zgartiradi.

Agar teskari marshrut shunchaki yo'q bo'lsa, uni qo'shish tekshiruvni o'chirish o'rniga sababni tuzatadi. Yo'q marshrut, xavfsizlik devori rad etishi va noto'g'ri trafik tanlagichi bir xil ko'rinadigan alomatni keltirib chiqaradi, va ulardan faqat bittasi manba tekshiruvi haqida.

Manba tekshiruvlarini birinchi javob sifatida global o'chirmang. Bu aniq tashxisni keyinchalik eslab qolishingiz kerak bo'lgan keng xatti-harakat o'zgarishi bilan almashtiradi.

Himoya qila oladigan tanlangan tuzatish

Agar tor tuzatish haqiqatan kerak bo'lsa, uni muhtoj bo'lgan interfeys bilan cheklang, sababini yozing, va qayta yuklashdan keyin ham qolishi uchun o'sha interfeysga tegishli konfiguratsiyaga qo'ying. Keyin muvaffaqiyatsiz bo'lgan aynan o'sha oqimni o'sha manbadan o'sha manzilga qayta sinab ko'ring, qulay narsaga ping yuborish o'rniga.

Haligacha rad etilishi kerak bo'lgan holatni qo'shing. Agar bu holat endi muvaffaqiyatli bo'lsa, tuzatish siz tuzatmoqchi bo'lgan bir yo'ldan ko'proq zaiflashtirgan.

IPv4 va IPv6 ni alohida tuting

Tanish ko'rinadigan sysctl har bir manzil oilasi uchun siyosat emas. IPv6 ning o'z xatti-harakati va o'z sozlamalari bor, va mashina bir oilada qattiq, boshqasida yumshoq bo'lishi mumkin, ma'lum bir manzil muvaffaqiyatsiz bo'lmaguncha hech kim sezmaydi. Ish yuki ikkalasini ishlatsa ikkalasini ham tekshiring.

Rejimni, interfeysni, marshrut izlash natijasini va o'zgarish sababini bir joyda yozib qo'ying. Keyingi odam sozlamani topadi va hech qanday izoh topmaydi, va uni olib tashlaydi yoki tegishli bo'lmagan joyga ko'chiradi.