Un tallafoc de distribució Linux pot bloquejar el trànsit de la teva VPN

El túnel s’aixeca, el registre diu connectat, i una aplicació continua sense poder arribar enlloc. En un client Linux això normalment vol dir que el tallafoc de la distribució filtra un camí que el client VPN mai va gestionar. Dos gestors poden estar actius alhora, cadascun amb les seves idees sobre la interfície, la zona i la direcció del trànsit. Identificar el propietari abans de tocar res és més ràpid que provar regles fins que alguna cosa funcioni.

Trobeu el gestor i el backend

Comença pel que està realment carregat, no pel que està instal·lat. Una distribució pot incloure firewalld, ufw i un servei nftables simple, i només un d’ells posseeix el conjunt de regles en execució. Els paquets conviuen tranquil·lament, i una regla introduïda pel frontal equivocat no arriba mai al nucli. Llegeix el servei actiu i després llegeix el conjunt de regles que ha produït.

El backend importa tant com el frontal. Una instal·lació de firewalld pot fer funcionar nftables o el backend iptables antic segons la versió i la configuració, i tots dos produeixen una sortida d’inspecció diferent. Escriu la distribució, la versió i el backend al tiquet abans de comparar el teu sistema amb qualsevol guia.

Feu coincidir la direcció i la interfície

Una sol·licitud sortint del client, un oient entrant i un paquet reenviat travessen ganxos diferents, i una regla per a un no cobreix els altres. Una zona que permet la LAN local sovint no inclou la interfície del túnel ni el conjunt d’adreces de la VPN. La interfície del túnel normalment cau a la zona per defecte, que sovint és més estricta que la zona on hi ha l’adaptador físic. Aquesta discrepància explica per què la navegació funciona a la LAN i s’atura en el moment que el túnel puja.

Pregunta quina direcció ha fallat abans de triar una regla. Una aplicació que no pot connectar cap enfora necessita el camí de sortida, mentre que un servei entrant necessita el camí d’entrada a la interfície del túnel. Afegir una regla a la cadena equivocada produeix un canvi que sembla aplicat i no fa absolutament res.

Manteniu d’acord els propietaris de les regles

El ganxo d’un client VPN, un entorn d’execució de contenidors i el servei de la distribució poden modificar la xarxa tots junts, i no es coordinen entre ells. Les regles introduïdes a mà desapareixen a la propera recàrrega, i les regles inserides a la cadena d’un gestor es poden avaluar en un ordre que no volies. Utilitza la configuració persistent del gestor i inspecciona el conjunt de regles resultant en lloc del fitxer que has escrit. Desactivar tot el tallafoc perquè un servei no és accessible intercanvia un problema petit per un de gran.

Els comptadors estrets són la manera barata de trobar el flux rebutjat. Una regla de registre limitada a una destinació i un port mostra si la caiguda passa localment sense capturar el trànsit de ningú més. Elimina la regla de registre quan acabi la investigació, perquè és un diagnòstic i no una política, i la documentació de zones de firewalld explica com es combinen interfícies i serveis.

Comproveu la correcció sense perdre el bloqueig

Inspecciona l’estat aplicat amb el gestor que en té la propietat, fent servir ordres que coincideixin amb el backend que vas registrar. La llista següent assumeix que firewalld mana; substitueix-la per l’equivalent de nftables o ufw en lloc d’executar-les totes. Barrejar eines en una sessió és com una màquina acaba amb dos conjunts de regles en conflicte.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

La primera ordre anomena les zones i les interfícies assignades, cosa que mostra on ha caigut realment el túnel. La segona imprimeix les regles i serveis d’una zona, de manera que pots veure si la interfície VPN està coberta. La llista de nftables és la veritat fonamental del backend en ús, i una regla que només existeix en un fitxer de configuració no hi apareix. Compara les tres sortides amb la regla que has afegit, i la discrepància normalment es nomena sola.

Després repeteix la sol·licitud original i el comportament de fallada que necessites. Un lloc que acaba de funcionar no n’hi ha prou si el mateix canvi ha eliminat el bloqueig del client, així que prova també un camí sense protecció. Anota el gestor, el backend, la interfície i el propòsit de la regla, perquè una actualització de paquet que revifi un segon gestor, d’altra manera, reconstruirà tot el desastre.