Endpoint ünvanı dəyişdikdə VPN üçün UFW istisnası

Müştəri yenidən qoşulmağa çalışır və maşından heç nə çıxmır, halbuki eyni profil keçən həftə işləyirdi. Endpoint host adı indi başqa ünvana həll olunur və çıxış istisnası hələ də köhnəsini adlandırır. Bu bir köhnəlmiş icazə işləyən kill switch-i tam kəskə çevirməyə kifayət edir və masaüstünün göstərdiyi heç bir status indikatorunda görünmür. Təmir bir sətirlik düzəliş deyil, kiçik bir iş axınıdır.

Tunel yenidən qoşulur, sonra heç nə çıxmır

Təyinat ünvanını adlandıran çıxış qaydası anlıq görüntüdür, DNS cavabları isə deyil. Provayder ünvanı fırladanda müştərinin yeni peer-ə göndərdiyi paket heç nəyə uyğun gəlmir və standart qadağa ilə atılır. Sonra müştəri vaxt aşımı barədə məlumat verir, bu da firewall deyil, server problemi kimi səslənir.

İctimai axtarışın qaytardığı ünvanı bərkitmək bu günü işlədir və sabahı qırıq qoyur. Bu birtərəfli düzəlişdir, texniki xidmət siyasəti deyil.

Həqiqətən nəzərdə tutduğunuz istisnanı təsvir edin

Qaydanın ehtiyac duyduğu dörd dəyəri yazmaqla başlayın: təsdiqlənmiş endpoint adı və ya ünvan dəsti, transport, təyinat portu və paketin çıxdığı interfeys. Dördü də icazənin bir hissəsidir və onlardan hər hansı biri səhv ola bilər, qayda isə hələ də inandırıcı görünür. Üçündə düzgün olan qayda dördündə də səhv olan qayda kimi uğursuz olur. Onları əmri yazmazdan əvvəl qeyd edin, çünki qayda arxasındakı təsvir qədər yaxşıdır.

Aşağıdakı əmr kabelli uplink-də bir IPv4 UDP endpoint üçün formanı göstərir. Hər iki dəyəri yerləşdirməyə qarşı yoxladığınız dəyərlərlə əvəz edin.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Bu icazə eyni portda ixtiyari təyinatları icazələndirmir, dinləyici yaratmır və TCP-ni əhatə etmir. UFW təlimat səhifəsi ünvan, interfeys və protokolun qaydanı necə daraltdığını təsvir edir və bütün məsələ məhz bu daraltmadır.

Onu vahid iş axını kimi yeniləyin

İstisnaya sahibi və keçidi olan resurs kimi baxın, kiminsə icra etməyi xatırladığı əmr kimi deyil. Əvvəlcə yerləşdirmənin öz həlledicisindən və endpoint inventarından namizəd əldə edin və tunel mövcud olmazdan əvvəl bu adın necə həll olunduğunu qəsdən müəyyənləşdirin. Sonra qaydalar dəstinə toxunmazdan əvvəl namizədi nəzərdə tutulan protokol, port və ünvan ailəsinə qarşı yoxlayın.

Əvvəlcə yeni dar icazəni quraşdırın və onun yükləndiyini təsdiqləyin, çünki müştəridən firewall-ın hələ blokladığı ünvanı istifadə etməyi tələb etmək server nasazlığına bənzəyən xəta yaradır. Dəyişiklik zamanı əlaqəsiz qaydalara toxunmayın.

Müştərinin dəstəklənən yenidən qoşulma yolu ilə keçidini müşahidə edin və hansı uzaq ünvanı seçdiyini təsdiqləyin. Yalnız DNS-i yeniləmək mövcud soketi yerindən tərpətmir və endpoint davamlılığı parametri qeyd dəyişdikdən çox sonra da müştərini köhnə peer-də saxlaya bilər.

Nəhayət köhnəlmiş icazəni qəsdən ləğv edin və köhnə sessiya hələ aktiv ikən təsdiqlənmiş üst-üstə düşmə pəncərəsinə icazə verin. Köhnə qeydi çox tez silmək qısa kəsintiyə səbəb olur; onu əbədi saxlamaq heç kimin izah edə bilmədiyi bir icazə qoyur.

Köhnə icazəni qəsdən ləğv edin

Risklərin çoxu silinmə mərhələsindədir, çünki köhnə qayda hazırda işləyən yeganə şeydir. Namizədin quraşdırılması uğursuz olubsa, davam etməyin və hələ də trafik daşıyan qeydi silməyin. Silinmənin özü uğursuz olarsa, siyasəti cari elan etmək əvəzinə köhnəlmiş icazəni köhnəlmiş kimi qeyd edin.

Uplink Ethernetdən Wi-Fi-yə keçəndə, transport dəyişəndə və ya xidmət bir neçə ünvan arasında fırlananda bütün baxışı təkrarlayın. İnterfeysə xas qayda şəbəkə dəyişikliyindən sonra uyğunlaşmağı dayandırmalıdır və bu davranış reqressiya kimi görünsə də düzgündür.

Sonra müqaviləni zərərsiz trafiklə sübut edin. Təsdiqlənmiş endpoint quraşdırma zamanı əldə edilə bilən olmalıdır, qorunan tətbiq qoşulduqdan sonra işləməlidir və əlaqəsiz birbaşa trafik kəsinti zamanı bloklanmış qalmalıdır. Hər iki ünvan ailəsini və qəsdən uğursuz olmuş bir yeniləmə cəhdini daxil edin, çünki bərkidilmiş ünvanın bir dəyişikliyindən sonra uğurlu olan bağlantı bu hallardan heç birini sübut etmir.