’n Firewall van ’n Linux-verspreiding kan jou VPN-verkeer blokkeer

Die tonnel kom op, die logboek sê verbind, en een toepassing kan steeds niks bereik. Op ’n Linux-kliënt beteken dit gewoonlik dat ’n verspreidingsfirewall ’n pad filter wat die VPN-kliënt nooit bestuur het nie. Twee bestuurders kan gelyktydig aktief wees, elk met sy eie idees oor die koppelvlak, die sone en die rigting van verkeer. Om die eienaar te identifiseer voordat jy iets wysig, is vinniger as om reëls te probeer tot iets werk.

Vind die bestuurder en die backend

Begin met wat werklik gelaai is, nie met wat geïnstalleer is nie. ’n Verspreiding kan firewalld, ufw en ’n gewone nftables-diens saamlewer, en net een van hulle besit die lopende reëlstel. Die pakkette bestaan vreedsaam saam, en ’n reël wat deur die verkeerde voorkant ingevoer is, bereik nooit die kernel nie. Lees die aktiewe diens en lees dan die reëlstel wat dit opgelewer het.

Die backend maak net soveel saak soos die voorkant. ’n firewalld-installasie kan nftables of die ou iptables-backend dryf, afhangende van weergawe en konfigurasie, en die twee lewer verskillende inspeksie-uitsette. Skryf die verspreiding, die weergawe en die backend in die kaartjie voordat jy jou stelsel met enige gids vergelyk.

Pas die rigting en die koppelvlak by mekaar

’n Uitgaande kliëntversoek, ’n inkomende luisteraar en ’n deurgestuurde pakkie loop deur verskillende hake, en ’n reël vir een dek nie die ander nie. ’n Sone wat die plaaslike LAN toelaat, sluit dikwels nie die tonnelkoppelvlak of die VPN-adrespoel in nie. ’n Tonnelkoppelvlak beland gewoonlik in die verstekzone, wat dikwels strenger is as die sone waarin die fisiese adapter sit. Daardie wanverhouding verduidelik waarom blaai op die LAN werk en stop sodra die tonnel opkom.

Vra watter rigting gefaal het voordat jy ’n reël kies. ’n Toepassing wat nie uitwaarts kan verbind nie, het die uitsetpad nodig, terwyl ’n inkomende diens die insetpad op die tonnelkoppelvlak nodig het. Om ’n reël by die verkeerde ketting te voeg, lewer ’n verandering wat toegepas lyk en heeltemal niks doen nie.

Hou die reëleienaars in ooreenstemming

’n VPN-kliënt se haak, ’n houerruntime en die verspreidingsdiens kan almal netwerking wysig, en hulle koördineer nie met mekaar nie. Handmatig ingevoerde reëls verdwyn by die volgende herlaai, en reëls wat in ’n bestuurder se ketting ingevoeg is, kan in ’n orde geëvalueer word wat jy nie bedoel het nie. Gebruik die bestuurder se blywende konfigurasie en inspekteer die resulterende reëlstel eerder as die lêer wat jy geskryf het. Om die hele firewall af te skakel omdat een diens onbereikbaar is, ruil ’n klein probleem vir ’n groot een.

Nou tellers is die goedkoop manier om die verwerpte vloei te vind. ’n Logreël wat tot een bestemming en een poort beperk is, wys of die druppel plaaslik plaasvind sonder om iemand anders se verkeer vas te vang. Verwyder die logreël wanneer die ondersoek eindig, want dit is ’n diagnostiese middel eerder as ’n beleid, en firewalld se sone-dokumentasie verduidelik hoe koppelvlakke en dienste kombineer.

Kontroleer die regstelling sonder om toesluiting te verloor

Inspekteer die toegepaste toestand met die bestuurder wat dit besit, met opdragte wat by die backend pas wat jy aangeteken het. Die lys hieronder aanvaar dat firewalld in beheer is; vervang dit met die ekwivalent vir nftables of ufw eerder as om almal te hardloop. Om gereedskap in een sessie te meng, is hoe ’n masjien met twee botsende reëlstelle eindig.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Die eerste opdrag noem die sones en die koppelvlakke wat daaraan toegewys is, wat wys waar die tonnel werklik beland het. Die tweede druk die reëls en dienste van ’n sone, sodat jy kan sien of die VPN-koppelvlak hoegenaamd gedek is. Die nftables-lys is die grondwaarheid vir die backend in gebruik, en ’n reël wat slegs in ’n konfigurasielêer bestaan, verskyn nie daar nie. Vergelyk die drie uitsette met die reël wat jy bygevoeg het, en die wanverhouding noem gewoonlik homself.

Herhaal dan die oorspronklike versoek en die faalgedrag wat jy vereis. ’n Webwerf wat nuut werk, is nie genoeg as dieselfde verandering die kliënt se toesluiting verwyder het nie, so toets ook ’n onbeskermde pad. Teken die bestuurder, backend, koppelvlak en doel van die reël aan, want ’n pakketopdatering wat ’n tweede bestuurder herleef, sal andersins die hele gemors herbou.