Выключэнне UFW для VPN пры змене адраса канцавой кропкі

Кліент спрабуе перападключыцца, і з машыны нічога не выходзіць, хоць той самы профіль працаваў на мінулым тыдні. Імя хоста канцавой кропкі цяпер вырашаецца ў іншы адрас, а зыходнае выключэнне ўсё яшчэ называе стары. Гэтага аднаго састарэлага дазволу дастаткова, каб ператварыць працоўны kill switch у поўны простой, і яно нябачнае ў любым паказчыку стану, які паказвае працоўны стол. Выпраўленне — невялікі працоўны працэс, а не праўка аднаго радка.

Тунэль перападключаецца, і нічога не выходзіць

Зыходнае правіла, якое называе адрас прызначэння, — гэта здымак, а адказы DNS такімі не з'яўляюцца. Калі пастаўшчык мяняе адрас, пакет, які кліент адпраўляе да новага піра, нічому не адпавядае і адкідаецца забаронай па змаўчанні. Затым кліент паведамляе пра сканчэнне часу чакання, што выглядае як праблема сервера, а не міжсеткавага экрана.

Замацаванне адраса, які верне публічны запыт, прымусіць сёння працаваць, а заўтра зламаецца. Гэта разавая праўка, а не палітыка абслугоўвання.

Апішыце выключэнне, якое вы сапраўды маеце на ўвазе

Пачніце з таго, што запішыце чатыры значэнні, патрэбныя правілу: ухваленае імя канцавой кропкі або набор адрасоў, транспарт, порт прызначэння і інтэрфейс, праз які пакет выходзіць. Усе чатыры ўваходзяць у дазвол, і любое з іх можа быць няправільным, пакуль правіла ўсё яшчэ выглядае праўдападобна. Правіла, правільнае ў трох з іх, адмаўляе гэтак жа, як правіла, няправільнае ва ўсіх чатырох. Запішыце іх да ўводу каманды, бо правіла добрае роўна настолькі, наколькі добрае апісанне за ім.

Каманда ніжэй паказвае форму для адной канцавой кропкі IPv4 UDP на драцяным аплінку. Замяніце абодва значэнні тымі, якія вы праверылі па разгортванні.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Гэты дазвол не дае права на адвольныя прызначэнні на тым жа порце, не стварае слухача і не пакрывае TCP. Старонка кіраўніцтва UFW апісвае, як адрас, інтэрфейс і пратакол звужваюць правіла, і менавіта гэта звужэнне і ёсць сутнасць.

Абнавіце гэта як адзін працоўны працэс

Стаўцеся да выключэння як да рэсурсу з уладальнікам і пераходам, а не як да каманды, якую нехта ўспомніць выканаць. Спачатку атрымайце кандыдата з уласнага рэзальвера і інвентара канцавых кропак разгортвання і свядома вызначце, як гэтае імя вырашаецца да з'яўлення тунэля. Затым праверце кандыдата на адпаведнасць меркаванаму пратаколу, порту і сямейству адрасоў, перш чым кранаць набор правілаў.

Спачатку ўсталюйце новае вузкае дазвол і пацвердзіце, што яно загрузілася, бо просьба да кліента выкарыстоўваць адрас, які міжсеткавы экран усё яшчэ блакуе, дае збой, які выглядае як адмова сервера. Не чапайце незвязаныя правілы падчас змены.

Назірайце пераход кліента праз падтрымліваны шлях перападключэння і пацвердзіце, які аддалены адрас ён выбраў. Абнаўленне аднаго толькі DNS не перамяшчае існуючы сокет, а параметр захавання канцавой кропкі можа ўтрымліваць кліента на старым піры яшчэ доўга пасля змены запісу.

Нарэшце, наўмысна вывядзіце састарэлы дазвол з эксплуатацыі, дапускаючы ўхваленае акно перакрыцця, пакуль старая сесія яшчэ актыўная. Занадта ранняе выдаленне старога запісу дае кароткі простой; пакіданне яго назаўжды пакідае дазвол, які ніхто не можа патлумачыць.

Наўмысна вывядзіце стары дазвол з эксплуатацыі

Выдаленне — гэта месца, дзе засяроджана большая частка рызыкі, бо старое правіла цяпер адзінае, што працуе. Калі ўсталяванне кандыдата не ўдалося, не працягвайце і не выдаляйце запіс, які ўсё яшчэ нясе трафік. Калі сам вывад з эксплуатацыі не ўдаўся, запішыце састарэлы дазвол як састарэлы, замест таго каб абвясціць палітыку актуальнай.

Паўтарыце ўвесь агляд, калі аплінк мяняецца з Ethernet на Wi-Fi, калі мяняецца транспарт або калі служба круціцца па некалькіх адрасах. Правіла, прывязанае да інтэрфейса, павінна перастаць супадаць пасля змены сеткі, і гэтыя паводзіны правільныя, хоць і выглядаюць як рэгрэсія.

Затым дакажыце кантракт бясшкодным трафікам. Ухваленая канцавая кропка павінна быць даступная пры наладзе, абароненае прыкладанне павінна працаваць пасля падключэння, а незвязаны прамы трафік павінен заставацца заблакаваным падчас простоя. Уключыце абодва сямействы адрасоў і адну наўмысна няўдалую спробу абнаўлення, бо злучэнне, якое ўдаецца пасля адной праўкі замацаванага адраса, не даказвае ніводнага з гэтых выпадкаў.