UFW iznimka za VPN kad se promijeni adresa krajnje točke

Klijent se pokušava ponovno povezati i ništa ne izlazi iz stroja, iako je isti profil radio prošli tjedan. Ime hosta krajnje točke sada se razrješava na drugu adresu, a izlazna iznimka još navodi staru. Ta jedna zastarjela dozvola dovoljna je da funkcionalni kill switch pretvori u potpuni prekid, i nevidljiva je u svakom pokazatelju stanja koji radna površina prikazuje. Popravak je mali tijek rada, a ne izmjena jednog retka.

Tunel se ponovno povezuje, a zatim ništa ne izlazi

Izlazno pravilo koje navodi odredišnu adresu je snimka stanja, a DNS odgovori to nisu. Kada pružatelj zakrene adresu, paket koji klijent šalje prema novom peeru ne odgovara ničemu i biva odbačen zadanom zabranom. Klijent tada prijavi istek vremena, što zvuči kao problem poslužitelja, a ne vatrozida.

Pričvršćivanje adrese koju vrati javno pretraživanje čini da danas radi, a sutra ostaje pokvareno. To je jednokratna izmjena, a ne politika održavanja.

Opišite iznimku koju doista imate na umu

Započnite tako da zapišete četiri vrijednosti koje pravilo treba: odobreno ime krajnje točke ili skup adresa, transport, odredišni port i sučelje kroz koje paket izlazi. Sve četiri dio su dozvole, i bilo koja od njih može biti pogrešna dok pravilo još izgleda uvjerljivo. Pravilo koje je točno u tri od njih zataji jednako kao pravilo koje je pogrešno u sve četiri. Zapišite ih prije nego upišete naredbu, jer pravilo vrijedi onoliko koliko vrijedi opis iza njega.

Naredba u nastavku pokazuje oblik za jednu IPv4 UDP krajnju točku na žičanoj vezi. Zamijenite obje vrijednosti onima koje ste provjerili prema implementaciji.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Ta dozvola ne ovlašćuje proizvoljna odredišta na istom portu, ne stvara slušača i ne pokriva TCP. Stranica priručnika UFW opisuje kako adresa, sučelje i protokol sužavaju pravilo, i upravo je to sužavanje cijela poanta.

Osvježite to kao jedan tijek rada

Tretirajte iznimku kao resurs s vlasnikom i prijelazom, a ne kao naredbu koju se netko sjeti pokrenuti. Najprije pribavite kandidata iz vlastitog razrješivača i popisa krajnjih točaka implementacije i svjesno definirajte kako se to ime razrješava prije nego tunel postoji. Zatim provjerite kandidata prema namjeravanom protokolu, portu i obitelji adresa prije nego dotaknete skup pravila.

Najprije instalirajte novu usku dozvolu i potvrdite da se učitala, jer slanje klijenta na adresu koju vatrozid još blokira proizvodi pogrešku koja izgleda kao kvar poslužitelja. Pustite nepovezana pravila netaknuta tijekom promjene.

Promatrajte prijelaz klijenta njegovim podržanim putem ponovnog povezivanja i potvrdite koju je udaljenu adresu odabrao. Samo ažuriranje DNS-a ne pomiče postojeći socket, a postavka trajnosti krajnje točke može zadržati klijenta na starom peeru dugo nakon što se zapis promijenio.

Na kraju svjesno povucite zastarjelu dozvolu, dopuštajući odobreni prozor preklapanja dok je stara sesija još aktivna. Preuranjeno uklanjanje starog unosa proizvodi kratki prekid; ostavljanje zauvijek ostavlja dozvolu koju nitko ne može objasniti.

Svjesno povucite staru dozvolu

Uklanjanje je mjesto gdje leži većina rizika, jer je staro pravilo jedino što trenutno radi. Ako je instalacija kandidata neuspješna, ne nastavljajte i ne brišite unos koji još nosi promet. Ako samo uklanjanje ne uspije, zabilježite zastarjelu dozvolu kao zastarjelu umjesto da politiku proglasite aktualnom.

Ponovite cijeli pregled kada se veza promijeni s Etherneta na Wi-Fi, kada se promijeni transport ili kada se usluga okreće preko nekoliko adresa. Pravilo specifično za sučelje trebalo bi prestati odgovarati nakon promjene mreže, i to je ponašanje ispravno iako izgleda kao regresija.

Dokažite zatim ugovor bezopasnim prometom. Odobrena krajnja točka mora biti dostupna tijekom postavljanja, zaštićena aplikacija mora raditi nakon povezivanja, a nepovezani izravni promet mora ostati blokiran tijekom prekida. Uključite obje obitelji adresa i jedan svjesno neuspjeli pokušaj ažuriranja, jer veza koja uspije nakon jedne izmjene pričvršćene adrese ne dokazuje nijedan od tih slučajeva.