Gall wal dân dosbarthiad Linux rwystro eich traffig VPN

Mae’r twnnel yn codi, mae’r log yn dweud cysylltiedig, ac mae un rhaglen yn dal i fethu cyrraedd unrhyw beth. Ar gleient Linux mae hynny fel arfer yn golygu bod wal dân y dosbarthiad yn hidlo llwybr na fu’r cleient VPN erioed yn ei reoli. Gall dau reolwr fod yn weithredol ar unwaith, pob un â’i syniadau ei hun am y rhyngwyneb, y parth a chyfeiriad y traffig. Mae nodi’r perchennog cyn golygu unrhyw beth yn gyflymach na thrio rheolau nes bod rhywbeth yn gweithio.

Dewch o hyd i’r rheolwr a’r backend

Dechreuwch gyda’r hyn sy’n cael ei lwytho mewn gwirionedd, nid gyda’r hyn sy’n cael ei osod. Gall dosbarthiad gludo firewalld, ufw a gwasanaeth nftables syml, a dim ond un ohonynt sy’n berchen ar y set rheolau sy’n rhedeg. Mae’r pecynnau’n cyd-fyw’n dawel, ac nid yw rheol a gofnodwyd drwy’r blaen anghywir byth yn cyrraedd y craidd. Darllenwch y gwasanaeth gweithredol, yna darllenwch y set rheolau a gynhyrchodd.

Mae’r backend yr un mor bwysig â’r blaen. Gall gosodiad firewalld yrru nftables neu’r backend iptables hŷn yn dibynnu ar fersiwn a chyfluniad, ac mae’r ddau yn cynhyrchu allbwn archwilio gwahanol. Ysgrifennwch y dosbarthiad, y fersiwn a’r backend yn y tocyn cyn cymharu eich system ag unrhyw ganllaw.

Cyfatebwch y cyfeiriad a’r rhyngwyneb

Mae cais cleient allan, gwrandäwr i mewn a phecyn a anfonwyd ymlaen yn croesi bachau gwahanol, ac nid yw rheol ar gyfer un yn cwmpasu’r lleill. Yn aml nid yw parth sy’n caniatáu’r LAN lleol yn cynnwys rhyngwyneb y twnnel na chronfa gyfeiriadau’r VPN. Mae rhyngwyneb twnnel fel arfer yn glanio yn y parth diofyn, sy’n aml yn fwy llym na’r parth lle mae’r addasydd corfforol. Mae’r anghysondeb hwnnw’n esbonio pam mae pori’n gweithio ar y LAN ac yn stopio’r munud y daw’r twnnel i fyny.

Gofynnwch pa gyfeiriad a fethodd cyn dewis rheol. Mae rhaglen na all gysylltu allan angen y llwybr allbwn, tra bo angen y llwybr mewnbwn ar y rhyngwyneb twnnel ar wasanaeth sy’n dod i mewn. Mae ychwanegu rheol at y gadwyn anghywir yn cynhyrchu newid sy’n edrych fel petai wedi’i roi ar waith ac yn gwneud dim o gwbl.

Cadwch berchnogion y rheolau’n gytûn

Gall bachyn cleient VPN, amgylchedd rhedeg cynwysyddion a gwasanaeth y dosbarthiad newid y rhwydwaith i gyd, ac nid ydynt yn cydlynu â’i gilydd. Mae rheolau a gofnodwyd â llaw yn diflannu ar yr ail-lwytho nesaf, a gall rheolau a lapiwyd i gadwyn rheolwr gael eu gwerthuso mewn trefn na fwriadwyd gennych. Defnyddiwch gyfluniad parhaus y rheolwr ac archwiliwch y set rheolau sy’n deillio o hynny yn hytrach na’r ffeil a ysgrifennwyd gennych. Mae diffodd y wal dân gyfan oherwydd bod un gwasanaeth yn anghyraeddadwy yn cyfnewid problem fach am un fawr.

Mae cownteri cul yn ffordd rad o ddod o hyd i’r llif a wrthodwyd. Mae rheol gofnodi wedi’i chyfyngu i un cyrchfan ac un porth yn dangos a yw’r gollwng yn digwydd yn lleol heb ddal traffig neb arall. Tynnwch y rheol gofnodi pan ddaw’r ymchwiliad i ben, oherwydd diagnosteg yw hi yn hytrach na pholisi, a dogfennaeth parthau firewalld yn esbonio sut mae rhyngwynebau a gwasanaethau’n cyfuno.

Gwiriwch y cywiriad heb golli’r clo

Archwiliwch y cyflwr a roddwyd ar waith gyda’r rheolwr sy’n berchen arno, gan ddefnyddio gorchmynion sy’n cyfateb i’r backend a gofnodwyd gennych. Mae’r rhestr isod yn tybio mai firewalld sydd wrth y llyw; rhoddwch yr hyn sy’n cyfateb ar gyfer nftables neu ufw yn lle rhedeg pob un. Cymysgu offer mewn un sesiwn yw sut mae peiriant yn gorffen gyda dwy set reolau sy’n gwrthdaro.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Mae’r gorchymyn cyntaf yn enwi’r parthau a’r rhyngwynebau a neilltuwyd iddynt, sy’n dangos lle y glaniodd y twnnel mewn gwirionedd. Mae’r ail yn argraffu rheolau a gwasanaethau parth, fel y gallwch weld a yw rhyngwyneb y VPN wedi’i gwmpasu o gwbl. Rhestr nftables yw’r gwirionedd sylfaenol ar gyfer y backend sy’n cael ei ddefnyddio, ac nid yw rheol sy’n bodoli mewn ffeil gyfluniad yn unig yn ymddangos yno. Cymharwch y tri allbwn â’r rheol a ychwanegwyd gennych, ac mae’r anghysondeb fel arfer yn enwi ei hun.

Yna ailadroddwch y cais gwreiddiol a’r ymddygiad methu sy’n ofynnol gennych. Nid yw safle sy’n gweithio o’r newydd yn ddigon os yw’r un newid wedi tynnu clo’r cleient, felly profwch lwybr heb ei amddiffyn hefyd. Cofnodwch y rheolwr, y backend, y rhyngwyneb a phwrpas y rheol, oherwydd bydd diweddariad pecyn sy’n adfywio ail reolwr yn ailadeiladu’r llanast i gyd fel arall.