麒麟V10系统VPN连接失败的处理方法（MotionPro）

ZB登录失败的处理方法

一、环境

#### 1、硬件信息
机型：清华同方（超翔TF830）
处理器：D2000
内存：8G

#### 2、系统信息
系统版本：Kylin-Desktop-V10-Release-Build1-2101-arm64-2021-01-22
内核版本：4.4.131-20210120.kylin.desktop-generic

#### 3、VPN软件及版本
软件名称：MotionPro_1.2.10.3

二、问题现象

使用MotionPro的vpn拨号连接不能正常打开办公系统，拨号软件会超时自动中断连接，有时拨号软件界面还会弹出“MotionPro客户端建立SSL连接失败。请检查网络连接和证书。”的提示，40秒后vpn客户端未收到vpn服务端的包，中断连接并弹出输入密码对话框。

三、处理方法

需要修改rp_filter的内核参数值，将默认值1改为2，修改方法如下：

方法1：临时修改（重启后失效），在终端执行以下命令：

sudo   sysctl   -w   net.ipv4.conf.default.rp_filter=2
sudo   sysctl   -w   net.ipv4.conf.all.rp_filter=2

方法2：永久修改：

打开配置文件：sudo pluma /etc/sysctl.conf

在21行的位置插入两行：

net.ipv4.conf.default.rp_filter=2

net.ipv4.conf.all.rp_filter=2

重启系统生效。

查看是否修改成功：sudo sysctl -a | grep filter

四、验证

使用MotionPro拨号测试VPN连接是否正常，打开综办OA系统看是否正常。

五、关于rp_filter

rp_filter是内核的重要参数之一，该参数用于控制系统是否开启对数据包源地址的校验，定义了网卡对接收到的数据包进行反向路由验证的规则，麒麟v10系统出于安全考虑，默认值设置为1。

值的具体含义是：
    1：开启严格的反向路径校验。对每个进来的数据包，校验其反向路径是否是最佳路径。如果反向路径不是最佳路径，则直接丢弃该数据包。
    2：开启松散的反向路径校验。对每个进来的数据包，校验其源地址是否可达，即反向路径是否能通（通过任意网口），如果反向路径不通，则直接丢弃该数据包。

rp_filter参数设置为1的作用有以下两点：
1. 避免过多的无效连接消耗系统资源，有效减少DDoS攻击。
2. 校验数据包的反向路径，不会向伪造IP的客户端回复响应，有效防止IP Spoofing。