Файрвол дыстрыбутыва Linux можа блакаваць ваш VPN-трафік

Тунель узнімаецца, журнал паведамляе пра злучэнне, але адна праграма ўсё яшчэ нічога не дасягае. На кліенце Linux гэта звычайна азначае, што файрвол дыстрыбутыва фільтруе шлях, які кліент VPN ніколі не кіраваў. Два менеджэры могуць быць актыўнымі адначасова, і кожны мае свае ўяўленні пра інтэрфейс, зону і кірунак руху. Вызначыць уладальніка перад любым рэдагаваннем хутчэй, чым перабіраць правілы, пакуль нешта не спрацуе.

Знайдзіце менеджэр і бэкенд

Пачынайце з таго, што фактычна загружана, а не з таго, што ўсталявана. Дыстрыбутыў можа пастаўляць firewalld, ufw і звычайную службу nftables, і толькі адна з іх валодае працоўным наборам правілаў. Пакеты спакойна суіснуюць, а правіла, уведзенае праз няправільны фронтэнд, ніколі не дасягае ядра. Прачытайце актыўную службу, затым прачытайце набор правілаў, які яна стварыла.

Бэкенд важны гэтак жа, як і фронтэнд. Усталяванне firewalld можа кіраваць nftables або старым бэкендам iptables у залежнасці ад версіі і канфігурацыі, і абодва даюць розны вывад праверкі. Запішыце дыстрыбутыў, версію і бэкенд у заяўку, перш чым параўноўваць вашу сістэму з любым кіраўніцтвам.

Суаднясіце кірунак і інтэрфейс

Выходны запыт кліента, уваходны слухач і перасылаемы пакет праходзяць праз розныя перахопнікі, і правіла для аднаго не пакрывае астатнія. Зона, якая дазваляе лакальную LAN, часта не ўключае інтэрфейс тунеля або пул адрасоў VPN. Інтэрфейс тунеля звычайна трапляе ў зону па змаўчанні, якая часта больш строгая за зону, у якой знаходзіцца фізічны адаптар. Гэтая неадпаведнасць тлумачыць, чаму прагляд працуе ў LAN і спыняецца ў момант узняцця тунеля.

Спытайце, які кірунак не спрацаваў, перш чым выбіраць правіла. Праграме, якая не можа злучыцца звонку, патрэбны шлях выхаду, а ўваходнай службе патрэбны шлях уваходу на інтэрфейсе тунеля. Даданне правіла ў няправільны ланцуг стварае змену, якая выглядае ўжытай і не робіць зусім нічога.

Трымайце ўладальнікаў правілаў у згодзе

Перахопнік кліента VPN, асяроддзе кантэйнераў і служба дыстрыбутыва могуць змяняць сетку, і яны не ўзгадняюць дзеянні адно з адным. Правілы, уведзеныя ўручную, знікаюць пры наступнай перазагрузцы, а правілы, устаўленыя ў ланцуг менеджэра, могуць ацэньвацца ў парадку, які вы не мелі на ўвазе. Выкарыстоўвайце пастаянную канфігурацыю менеджэра і правярайце выніковы набор правілаў, а не файл, які вы напісалі. Адключэнне ўсяго файрвола, таму што адна служба недасяжная, абменьвае малую праблему на вялікую.

Вузкія лічыльнікі — самы танны спосаб знайсці адхілены струмень. Правіла журнала, абмежаванае адным прызначэннем і адным портам, паказвае, ці адбываецца скід лакальна, не перахопліваючы чужы трафік. Выдаліце правіла журнала, калі расследаванне скончыцца, бо гэта дыягностыка, а не палітыка, і дакументацыя firewalld пра зоны тлумачыць, як спалучаюцца інтэрфейсы і службы.

Праверце выпраўленне, не страціўшы блакаванне

Правярайце ўжыты стан тым менеджэрам, які ім валодае, выкарыстоўваючы каманды, што адпавядаюць запісанаму бэкенду. Спіс ніжэй мяркуе, што кіруе firewalld; падстаўце эквівалент для nftables або ufw замест таго, каб запускаць усе. Змешванне інструментаў у адной сесіі — гэта шлях да таго, каб машына атрымала два канфліктныя наборы правілаў.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Першая каманда называе зоны і прызначаныя ім інтэрфейсы, што паказвае, куды тунель фактычна трапіў. Другая друкуе правілы і службы зоны, каб вы бачылі, ці ўвогуле ахоплены інтэрфейс VPN. Спіс nftables — гэта асноўная ісціна для выкарыстоўванага бэкенду, і правіла, якое існуе толькі ў файле канфігурацыі, там не з’яўляецца. Параўнайце тры вывады з дададзеным правілам, і неадпаведнасць звычайна называе сябе сама.

Затым паўтарыце зыходны запыт і патрабаваныя паводзіны пры збоі. Сайт, які толькі што запрацаваў, недастатковы, калі тая ж змена зняла блакаванне кліента, таму праверце і незахішчаны шлях. Запішыце менеджэр, бэкенд, інтэрфейс і мэту правіла, бо абнаўленне пакета, якое ажывіць другі менеджэр, інакш перабудуе ўвесь бязлад.