Linux distributivinin firewall-ı VPN trafikinizi bloklaya bilər

Tunel qalxır, jurnal bağlantı olduğunu deyir, amma bir tətbiq hələ də heç bir yerə çata bilmir. Linux müştərisində bu, adətən, distributiv firewall-unun VPN müştərisinin heç vaxt idarə etmədiyi yolu filtrlədiyi anlamına gəlir. İki menecer eyni vaxtda aktiv ola bilər, hərəsinin interfeys, zona və trafik istiqaməti haqqında öz fikri var. Hər şeyi redaktə etməzdən əvvəl sahibi müəyyən etmək, nə vaxtsa işləyənə qədər qaydaları sınamaqdan daha sürətlidir.

Meneceri və backend-i tapın

Qurulana deyil, həqiqətən yüklənənə başlayın. Distributiv firewalld, ufw və sadə nftables xidməti ilə gələ bilər və onlardan yalnız biri işləyən qayda dəstinə sahibdir. Paketlər rahat şəkildə birgə yaşayır və yanlış ön tərəfdən daxil edilən qayda heç vaxt kernelə çatmır. Aktiv xidməti oxuyun, sonra onun yaratdığı qayda dəstini oxuyun.

Backend ön tərəf qədər vacibdir. firewalld quraşdırması versiyadan və konfiqurasiyadan asılı olaraq nftables və ya köhnə iptables backend-ini idarə edə bilər və ikisi fərqli yoxlama çıxışı verir. Sisteminizi hər hansı bələdçi ilə müqayisə etməzdən əvvəl distributivi, versiyanı və backend-i bilete yazın.

İstiqaməti və interfeysi uyğunlaşdırın

Çölə gedən müştəri sorğusu, daxil olan dinləyici və yönləndirilən paket fərqli qarmaqlardan keçir və biri üçün qayda digərlərini əhatə etmir. Yerli LAN-a icazə verən zona çox vaxt tunel interfeysini və ya VPN ünvan hovuzunu əhatə etmir. Tunel interfeysi adətən defolt zonaya düşür, bu zona isə fiziki adapterin yerləşdiyi zonadan tez-tez daha sərtdir. Bu uyğunsuzluq niyə LAN-da gəzintinin işlədiyini və tunel qalxan anda dayandığını izah edir.

Qayda seçməzdən əvvəl hansı istiqamətin uğursuz olduğunu soruşun. Çölə qoşula bilməyən tətbiqə çıxış yolu lazımdır, daxil olan xidmətə isə tunel interfeysində giriş yolu lazımdır. Səhv zəncirə qayda əlavə etmək tətbiq olunmuş görünən və heç nə etməyən dəyişiklik yaradır.

Qayda sahiblərini razılaşdırın

VPN müştərisinin qarmağı, konteyner runtime-ı və distributiv xidməti şəbəkəni birlikdə dəyişə bilər, və onlar bir-biri ilə koordinasiya etmirlər. Əl ilə daxil edilən qaydalar növbəti yenidən yükləmədə yox olur və menecerin zəncirinə əlavə edilən qaydalar nəzərdə tutmadığınız ardıcıllıqla qiymətləndirilə bilər. Menecerin davamlı konfiqurasiyasından istifadə edin və yazdığınız fayl yerinə yaranan qayda dəstini yoxlayın. Bir xidmət əlçatmaz olduğu üçün bütün firewall-u söndürmək kiçik problemi böyük bir problemlə dəyişdirir.

Dar sayğaclar rədd edilən axını tapmağın ucuz yoludur. Tək təyinat və tək porta məhdud olan log qaydası, düşmənin başqasının trafikini tutmadan yerli olaraq baş verdiyini göstərir. Araşdırma bitəndə log qaydasını silin, çünki o, siyasət deyil, diaqnostik vasitədir və firewalld-ın zona sənədləri interfeyslərin və xidmətlərin necə birləşdiyini izah edir.

Düzəlişi kilidləməni itirmədən yoxlayın

Tətbiq olunmuş vəziyyəti ona sahib olan menecerlə, qeyd etdiyiniz backend-ə uyğun əmrlərdən istifadə edərək yoxlayın. Aşağıdakı siyahı firewalld-ın məsul olduğunu fərz edir; hamısını işlətmək yerinə nftables və ya ufw üçün ekvivalenti qoyun. Alətləri bir sessiyada qarışdırmaq maşının iki ziddiyyətli qayda dəsti ilə bitməsinin yoludur.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Birinci əmr zonaları və onlara təyin edilmiş interfeysləri adlandırır, bu da tunelin həqiqətən hara düşdüyünü göstərir. İkincisi zonanın qaydalarını və xidmətlərini çap edir, beləliklə VPN interfeysinin ümumiyyətlə əhatə olunub-olunmadığını görə bilərsiniz. nftables siyahısı istifadə olunan backend üçün əsas həqiqətdir və yalnız konfiqurasiya faylında mövcud olan qayda orada görünmür. Üç çıxışı əlavə etdiyiniz qayda ilə müqayisə edin, adətən uyğunsuzluq özünü adlandırır.

Sonra orijinal sorğunu və tələb etdiyiniz uğursuzluq davranışını təkrarlayın. Eyni dəyişiklik müştərinin kilidləməsini götürmüşsə, yeni işləyən sayt kifayət deyil, ona görə qorunmayan yolu da sınayın. Meneceri, backend-i, interfeysi və qaydanın məqsədini qeyd edin, çünki ikinci meneceri canlandıran paket yeniləməsi əks halda bütün qarışıqlığı yenidən quracaq.