UFW-VPN-uitsondering wanneer die eindpuntadres verander

Die kliënt probeer weer verbind en niks verlaat die masjien nie, al het dieselfde profiel verlede week gewerk. Die eindpunt-gasheernaam los nou na ’n ander adres op, en die uitgaande uitsondering noem nog die ou een. Daardie enkele verouderde toestemming is genoeg om ’n werkende kill switch in ’n totale onderbreking te verander, en dit is onsigbaar in elke statusaanwyser wat die werkskerm wys. Die herstel is ’n klein werkvloei eerder as ’n een-reël-wysiging.

Die tonnel verbind weer, daarna gaan niks uit nie

’n Uitgaande reël wat ’n bestemmingsadres noem, is ’n oomblikopname, en DNS-antwoorde is nie. Wanneer die verskaffer ’n adres roteer, pas die pakkie wat die kliënt na die nuwe peer stuur op niks en word deur die standaard-weiering laat val. Die kliënt rapporteer dan ’n tydsverloop, wat soos ’n bedienerprobleem eerder as ’n firewallprobleem klink.

Om die adres vas te pen wat ’n openbare opsoek teruggee, laat vandag werk en los môre stukkend. Dit is ’n eenmalige wysiging, nie ’n onderhoudsbeleid nie.

Beskryf die uitsondering wat jy werklik bedoel

Begin deur die vier waardes neer te skryf wat die reël nodig het: die goedgekeurde eindpuntnaam of adresversameling, die transport, die bestemmingspoort en die koppelvlak waardeur die pakkie uitgaan. Al vier is deel van die toestemming, en enigeen daarvan kan verkeerd wees terwyl die reël nog geloofwaardig lyk. ’n Reël wat op drie daarvan reg is, misluk presies soos ’n reël wat op al vier verkeerd is. Skryf hulle neer voordat jy die opdrag tik, want ’n reël is net so goed soos die beskrywing daarby.

Die opdrag hieronder wys die vorm vir een IPv4 UDP-eindpunt op ’n bedrade opstuurverbinding. Vervang beide waardes met dié wat jy teen die ontplooiing geverifieer het.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Daardie toestemming magtig nie willekeurige bestemmings op dieselfde poort nie, skep nie ’n luisteraar nie en dek nie TCP nie. Die UFW-handleidingsblad beskryf hoe adres, koppelvlak en protokol ’n reël vernou, en die vernouing is die hele punt.

Vernieuw dit as een werkvloei

Behandel die uitsondering as ’n hulpbron met ’n eienaar en ’n oorgang, nie as ’n opdrag wat iemand onthou om te hardloop nie. Kry eers ’n kandidaat uit die ontplooiing se eie resolveerder en eindpuntinventaris, en bepaal doelbewus hoe daardie naam opgelos word voordat die tonnel bestaan. Valideer dan die kandidaat teen die beoogde protokol, poort en adresfamilie voordat jy aan die reëlstel raak.

Installeer eers die nuwe eng toestemming en bevestig dat dit gelaai is, want om die kliënt na ’n adres te vra wat die firewall nog blokkeer, lewer ’n fout wat soos ’n bedienerfout lyk. Laat onverwante reëls tydens die verandering ongemoeid.

Let op die kliënt se oorgang deur sy ondersteunde herverbindingspad en bevestig watter afgeleë adres hy gekies het. Om net DNS op te dateer skuif nie ’n bestaande sok nie, en ’n instelling vir eindpuntvolharding kan die kliënt lank nadat die rekord verander het, by die ou peer hou.

Trek laastens die verouderde toestemming doelbewus terug, met inagneming van die goedgekeurde oorvleuelingsvenster terwyl ’n ou sessie nog aktief is. Om die ou inskrywing te vroeg te verwyder veroorsaak ’n kort onderbreking; om dit vir altyd te laat staan, laat ’n toestemming wat niemand kan verduidelik nie.

Trek die ou toestemming doelbewus terug

Verwydering is waar die meeste risiko sit, want die ou reël is tans die enigste ding wat werk. As die installering van die kandidaat misluk het, moenie voortgaan en die inskrywing uitvee wat nog verkeer dra nie. As die verwydering self misluk, teken die verouderde toestemming as verouderd aan eerder as om die beleid as aktueel te verklaar.

Herhaal die hele hersiening wanneer die opstuurverbinding van Ethernet na Wi-Fi verander, wanneer die transport verander, of wanneer ’n diens oor verskeie adresse roteer. ’n Koppelvlakspesifieke reël is veronderstel om ná ’n netwerkverandering op te hou pas, en daardie gedrag is korrek al lyk dit soos ’n regressie.

Bewys die kontrak daarna met onskadelike verkeer. Die goedgekeurde eindpunt moet tydens die opstelling bereikbaar wees, die beskermde toepassing moet werk sodra dit verbind is, en onverwante direkte verkeer moet tydens ’n onderbreking geblokkeer bly. Sluit beide adresfamilies en een doelbewus mislukte opdateringspoging in, want ’n verbinding wat ná ’n enkele vasgepen adreswysiging slaag, bewys nie een van daardie gevalle nie.