Yeni UFW qaydası, köhnə bağlantı: qurulmuş vəziyyət qalib gəlir

Rədd qaydası əlavə edib açıq yükləmənin davam etdiyini görmək UFW xətası deyil. Əlavə etdiyiniz qayda axını artıq qəbul etmiş qaydalardan sonra gəlir və əvvəl qurulmuş bağlantı onlara uyğun gəlməyə davam edir. Bunu düzəltmək üçün düzgün mövqeyə daxil etmək və əvvəlki qaydaların nə vəd etdiyini anlamaq lazımdır. Bu dəyişikliyin dar versiyası aşağıdadır.

Qərarı sıra verir, qaydanın mövcudluğu deyil

UFW netfilter qaydalarını mərhələlərlə yazan ön hissədir: istifadəçi qaydalarından əvvəl işləyən çərçivə bölməsi, sonra istifadəçi qaydaları, sonra onlardan sonra işləyən bölmə. Standart əvvəlki qaydalar qurulmuş və əlaqəli bağlantılara aid trafiki qəbul edir və bu qaydalar adi allow və ya deny ilə əlavə etdiyiniz hər şeydən əvvəl qiymətləndirilir. UFW əmr arayışı daxiletmə sintaksisini və bu dəyişikliyin asılı olduğu nömrəli status görünüşünü sənədləşdirir.

Bu sıra sürprizi izah edir. Yeni qaydanız realdır və düzgün cədvəldədir, lakin paketin qarşılaşdığı ilk qərar deyil. Artıq qurulmuş kimi izlənən bağlantı heç vaxt ona çatmır.

Bu iş üçün route qaydalarından istifadə edin, çünki paket şlüzün öz xidmətlərinə ünvanlanmaq əvəzinə şlüzdən yönləndirilir. Giriş qaydası yanlış trafiki süzər və heç nə etmirmiş kimi görünər.

Geniş icazənin üstünə daxil edin

Daxiletməni tətbiq etməzdən əvvəl önizləyin və qaydanın siyahıda başqa yerdə artıq olmadığını təsdiqləyin. Eyni siyasəti təkrarlamaq sonrakı silinməni qeyri-müəyyən edir və yanlış nüsxəni silən şəxs bunu həftələrlə görməyəcək.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Önizləmə gözlədiyiniz mövqedə dəqiq bir qayda göstərirsə, eyni əmri dry-run bayrağı olmadan tətbiq edin. Mövqe 1 onu daha geniş istifadəçi icazələrindən yuxarı qoyur, əvvəl baxdığımız çərçivə qaydalarından yuxarı deyil. İnterfeys adının bu şlüzdəki tunel cihazı ilə uyğun olduğunu təsdiqləyin, çünki artıq mövcud olmayan interfeysə bağlanmış qayda siyahıda düzgün görünüb heç nəyə uyğun gəlməyəcək. Cihaz istinadını tətbiq etməzdən əvvəl dəyişin, test uğursuz olandan sonra deyil.

Bu qaydada heç bir təyinat portu yoxdur, ona görə də yalnız HTTPS deyil, həmin ünvandakı bütün TCP portlarını rədd edir. Məqsəd bir xidmətdirsə, portu adlandırın; siyasətdən geniş olan qayda ilk oxuyucusunu gözləyən gələcək hadisədir.

Mənbəyi tək ünvana yalnız o ünvan nəzərdə tutulan kimliyə bağlıdırsa məhdudlaşdırın. Dinamik təyinatlı VPN hovuzu sabah eyni ünvanı başqa müştəriyə verə bilər və rədd şəxsi deyil, ünvanı izləyəcək.

Qurulmuş axınlar yeni qaydadan sağ çıxır

Mövcud sessiyanın davam etməsinin səbəbi bağlantı izləməsidir. Axın qurulmuş kimi qeyd edildikdən sonra əvvəlki qaydalar onun paketlərini rədd qaydasına baxılmadan qəbul edir və ötürmə heç nə dəyişməmiş kimi bitir. Buna görə açıq bağlantını təkrar istifadə edən brauzerlə test yeni siyasət haqqında sizə heç nə demir. Rədd yerləşdirmədən dəqiqələr sonra faydasız görünə və növbəti qoşulan istifadəçi üçün tamamilə effektiv ola bilər.

Tələb canlı trafiki kəsməyi əhatə edirsə, bu istifadəçi qaydası dəyişikliyi bunu verə bilməz. İzlənən vəziyyətin ləğvi öz təsir dairəsi olan ayrıca əməliyyatdır və qaydanı əlavə edənə deyil, firewall sahibinə aiddir. Bir sessiyanın yox olması üçün şlüzdəki bütün bağlantıları təmizləmək ikinci hadisə yaradan düzəliş növüdür.

Sərhədləri də yadda saxlayın. Bu qayda ICMP, UDP və ya IPv6 haqqında heç nə demir, ona görə də uğurlu ping rəddin uğursuz olduğuna sübut deyil. Bir IPv4 ünvanı da veb-sayt deyil: ad bir neçə ünvana çevrilə bilər və yalnız adlandırdığınız ünvan əhatə olunur.

Təzə axınla test edin

Nömrəli istifadəçi qaydalarını və effektiv xam görünüşü oxuyun, sonra seçilmiş müştəridən yeni bağlantı açın:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Xam görünüş vacibdir, çünki status əl ilə yazılmış çərçivə qaydalarını buraxır, buna görə sıra nüvənin tətbiq etdiyindən fərqli görünə bilər. Bir qaydanın yanlış yerdə olduğu qənaətinə gəlməzdən əvvəl ikisini müqayisə edin.

Sonra qaydanın geniş deyil, məhdud olduğunu sübut edən iki nəzarəti yoxlayın: eyni müştəridən icazəli təyinat hələ də işləyir və ikinci müştəri siyasəti icazə verirsə, rədd edilən təyinatı hələ də əlçatan edir. Hər iki testi pozan rədd hədəflənmiş deyil, siyasət dəyişikliyidir.

Test bitdikdən sonra yalnız əlavə etdiyiniz qaydanı çıxarın, onu dəqiq təkrarlayaraq. Siyasət daimidirsə, onu müştəri kimliyi, təyinat sahibi və baxış tarixi ilə firewall sahibinə təhvil verin ki, yenidən təyin edilmiş tunel ünvanı köhnə rədd buraxmasın.