Rheol UFW newydd, cysylltiad hen: y wladwriaeth sefydledig sy’n ennill

Nid nam yn UFW yw ychwanegu rheol wadu a gweld lawrlwythiad agored yn parhau. Mae’r rheol a ychwanegwyd gennych yn sefyll ar ôl rheolau sydd eisoes wedi derbyn y llif, ac mae cysylltiad a sefydlwyd yn gynharach yn parhau i gyd-fynd â nhw. Mae trwsio hynny’n golygu mewnosod yn y safle cywir a deall beth mae’r rheolau cynharach yn ei addo. Y fersiwn gul o’r newid hwnnw sydd i ddod.

Trefn sy’n penderfynu, nid bodolaeth y rheol

Mae UFW yn flaen-ran sy’n ysgrifennu rheolau netfilter fesul cam: adran fframwaith sy’n rhedeg cyn rheolau’r defnyddiwr, yna’r rheolau defnyddiwr eu hunain, yna adran sy’n rhedeg ar eu hôl. Mae’r rheolau cyn safonol yn derbyn traffig cysylltiadau sefydledig a chysylltiedig, ac mae’r rheolau hynny’n cael eu gwerthuso cyn unrhyw beth a ychwanegwch gyda allow neu deny arferol. Mae cyfeirlyfr gorchmynion UFW yn dogfennu’r gystrawen fewnosod a’r olygfa statws rifedig y mae’r newid hwn yn dibynnu arni.

Mae’r drefn honno’n esbonio’r syndod. Mae eich rheol newydd yn real ac mae yn y tabl cywir, ond nid hi yw’r penderfyniad cyntaf y mae’r pecyn yn ei gyfarfod. Nid yw cysylltiad a oedd eisoes yn cael ei olrhain fel un sefydledig byth yn cyrraedd yno.

Defnyddiwch reolau route ar gyfer y gwaith hwn, oherwydd bod y pecyn yn cael ei anfon ymlaen drwy’r porth yn hytrach na’i gyfeirio at wasanaethau’r porth ei hun. Byddai rheol fewnbwn yn hidlo’r traffig anghywir ac yn ymddangos fel pe na bai’n gwneud dim.

Mewnosodwch uwchlaw’r caniatâd eang

Rhagolwgwch y mewnosodiad cyn ei gyflwyno, a chadarnhewch nad yw’r rheol eisoes yn bodoli yn rhywle arall yn y rhestr. Mae dyblygu polisi union yr un fath yn gwneud tynnu’n ôl yn ddiweddarach yn ansicr, ac ni fydd y sawl sy’n tynnu’r copi anghywir yn sylwi am wythnosau.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Os yw’r rhagolwg yn dangos yn union un rheol yn y safle a ddisgwyliwch, cyflwynwch yr un gorchymyn heb y faner dry-run. Mae safle 1 yn ei osod uwchlaw’r caniatadau defnyddiwr ehangach, nid uwchlaw’r rheolau fframwaith a adolygwyd yn gynharach. Cadarnhewch fod enw’r rhyngwyneb yn cyfateb i ddyfais twmnel y porth hwn, oherwydd bydd rheol sydd wedi’i chwmpasu i ryngwyneb nad yw’n bodoli mwyach yn eistedd yn y rhestr gan edrych yn gywir heb gyfateb i ddim. Ail-enwch y cyfeiriad at y ddyfais cyn ei chyflwyno, nid ar ôl i’r prawf fethu.

Nid oes porthladd cyrchfan yn y rheol honno, felly mae’n gwadu pob porthladd TCP yn y cyfeiriad hwnnw yn hytrach nag HTTPS yn unig. Os mai un gwasanaeth sydd dan sylw, enwch y porthladd; mae rheol sy’n ehangach na’r polisi yn ddigwyddiad yn y dyfodol sy’n aros am ei darllenydd cyntaf.

Cyfyngwch y ffynhonnell i un cyfeiriad yn unig os yw’r cyfeiriad hwnnw’n rhwym i’r hunaniaeth a fwriadwyd. Gall cronfa VPN â dyraniad deinamig roi’r un cyfeiriad i gleient arall yfory, a byddai’r gwad yn dilyn y cyfeiriad yn hytrach na’r person.

Mae llifau sefydledig yn goroesi’r rheol newydd

Olrhain cysylltiadau yw’r rheswm bod y sesiwn bresennol yn parhau. Unwaith y cofnodir llif fel un sefydledig, mae’r rheolau cyn yn derbyn ei becynnau cyn ymgynghori â’ch gwad, ac mae’r trosglwyddiad yn gorffen fel pe na bai dim wedi newid. Felly nid yw profi gyda phorwr sy’n ailddefnyddio cysylltiad agored yn dweud dim wrthych am y polisi newydd. Gall gwad edrych yn ddiwerth funudau ar ôl ei osod ac yn gwbl effeithiol i’r defnyddiwr nesaf sy’n cysylltu.

Os yw’r gofyniad yn cynnwys torri traffig byw, ni all y newid rheol defnyddiwr hwn ei gyflwyno. Mae dirymu’r wladwriaeth a olrheinir yn weithred ar wahân â’i chwmpas ei hun, ac mae’n perthyn i berchennog y mur tân yn hytrach nag i bwy bynnag a ychwanegodd y rheol. Mae glanhau pob cysylltiad ar borth i wneud i un sesiwn ddiflannu yn fath o atgyweiriad sy’n creu ail ddigwyddiad.

Cofiwch y ffiniau hefyd. Nid yw’r rheol hon yn dweud dim am ICMP, UDP nac IPv6, felly nid yw ping llwyddiannus yn brawf bod y gwad wedi methu. Nid yw un cyfeiriad IPv4 yn wefan chwaith: gall enw ddatrys i sawl cyfeiriad, a dim ond yr un a enwyd gennych sy’n cael ei chwmpasu.

Profwch gyda llif newydd

Darllenwch y rheolau defnyddiwr rhifedig a’r olygfa amrwd effeithiol, yna agorwch gysylltiad newydd o’r cleient a ddewiswyd:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Mae’r olygfa amrwd yn bwysig oherwydd bod status yn hepgor rheolau fframwaith a ysgrifennwyd â llaw, felly gall wneud i’r drefn edrych yn wahanol i’r hyn y mae’r cnewyllyn yn ei orfodi. Cymharwch y ddau cyn dod i’r casgliad bod rheol yn y lle anghywir.

Yna gwiriwch y ddau reolaeth sy’n profi bod y rheol wedi’i chwmpasu’n gul yn hytrach nag yn eang: mae cyrchfan a ganiateir o’r un cleient yn dal i weithio, ac mae ail gleient yn dal i gyrraedd y gyrchfan a wadir os yw ei bolisi’n caniatáu hynny. Mae gwad sy’n torri’r ddau brawf yn newid polisi, nid yn un wedi’i dargedu.

Pan fydd y prawf drosodd, tynnwch yn unig y rheol a ychwanegwyd gennych, drwy ei hailadrodd yn union. Os yw’r polisi’n barhaol, trosglwyddwch ef i berchennog y mur tân gyda hunaniaeth y cleient, perchennog y gyrchfan a dyddiad adolygu, fel na fydd cyfeiriad twmnel a ailddyrennir yn gadael gwad hen ffasiwn ar ôl.