Ni wnaeth ufw allow 443 unrhyw beth i wasanaeth y tu ôl i'r VPN

Mae ping yn llwyddo o gleient VPN, mae'r gwasanaeth TCP yn mynd i amser allan, ac nid yw ufw allow 443/tcp yn newid dim o gwbl. Pan fydd y rhaglen yn rhedeg ar westaiwr y tu ôl i'r porth ac nid ar y porth ei hun, ysgrifennwyd y caniatâd hwnnw ar gyfer y llwybr traffig anghywir. Nid yw'r pecyn wedi'i gyfeirio at y mur ffug ac nid yw'n cael ei ddanfon i broses leol, felly nid yw'r rheolau mewnbwn byth yn ei weld. Y feddyginiaeth yw rheol llwybr sy'n anelu at y llif a anfonir ymlaen, ac mae'r dystiolaeth ar ei chyfer eisoes yn y cofnod.

Penderfynwch a yw'r gyrchfan yn lleol neu wedi'i hanfon ymlaen

Darllenwch y pecyn fel y mae'r cnewyllyn yn ei weld. Traffig a ddanfonwyd i wasanaeth ar y porth yw mewnbwn lleol. Traffig y mae'r porth yn ei anfon ymlaen at westaiwr arall sydd wedi'i anfon ymlaen, ac mae UFW yn cadw setiau rheolau ar wahân ar gyfer y ddau lwybr. Y gyrchfan a'r chwiliad llwybro sy'n penderfynu'r gwahaniaeth, nid y rhyngwyneb y cyrhaeddodd y pecyn arno.

Gall llinell gofnod sy'n dangos yr un rhyngwyneb yn y meysydd IN ac OUT ddisgrifio pecyn wedi'i lwybro o hyd, oherwydd mae twnnel sy'n cario cleientiaid i mewn ac allan o un ddyfais yn edrych yn union felly. Mae cyfeiriad y gyrchfan yn datrys y cwestiwn yn gyflymach na'r enwau rhyngwyneb. Nid yw gweld yr un enw ddwywaith yn profi danfon lleol, ac nid yw dyfeisio rhyngwyneb twnnel na chrëodd y defnydd erioed yn helpu chwaith.

Darllenwch y bloc cyn ychwanegu unrhyw reol

Ailadroddwch un ymgais cysylltu awdurdodedig a chofnodwch ei ffynhonnell, ei chyrchfan, ei phrotocol a'i phorthladd cyrchfan fel y cofnododd y porth hwy. Cymharwch y pedwar gwerth hynny â'r cofnod yn y log ac â lleoliad gwirioneddol y gwasanaeth. Nid yw ping llwyddiannus cyn hyn yn profi ond bod ei gyfnewidiad ei hun wedi'i ganiatáu, ac mae'n bosibl y bydd mur ffug yn trin TCP SYN at raglen yn hollol wahanol.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Mae'r gorchymyn cyntaf yn dychwelyd y dyfarniad gyda'i feysydd, ac mae'r ail yn dangos yr hyn sydd eisoes wedi'i lwytho ac ym mha drefn. Darllenwch y ddau cyn golygu unrhyw beth, oherwydd mae gwaharddiad cynharach uwchben eich rheol yn esbonio'r un symptom heb unrhyw reol ar goll.

Ysgrifennwch y rheol llwybr gulaf sy'n ffitio

Yn y canllaw hwn, mae cleientiaid yn cyrraedd ar tun0 o 172.20.8.0/24, mae'r gwasanaeth yn gwrando ar 10.30.0.15 ar borthladd 8443, ac mae'r porth yn gadael drwy ens5. Dewiswyd y gwerthoedd hynny i beidio ag edrych o gwbl fel diofyn VPC cwmwl o 10.0.0.0/16 na rhwydwaith cartref o 192.168.0.0/16, ac mae 8443 yn cadw'r enghraifft ymhell oddi wrth wrandawr 443 y porth ei hun.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Mae'r rhediad prawf yn argraffu'r set rheolau a fyddai'n deillio, sef y ffordd rataf o weld a yw eich rheol yn glanio cyn gwaharddiad sy'n bodoli neu ar ei ôl. Cadarnhewch enwau'r rhyngwynebau a'r cyfeiriadau mewnol yn erbyn y defnydd ac nid yn erbyn yr enghraifft, a chofiwch pan fydd NAT cyrchfan yn rhedeg gyntaf, bod y hidlydd yn gweld y gyrchfan wedi'i chyfieithu.

Cadwch y llwybr dychwelyd yn gyflwr

Mae UFW yn olrhain cysylltiadau a ganiateir, felly mae'r atebion i lif a anfonir ymlaen ac a ganiateir yn cael eu derbyn heb reol wrthdro benodol. Mae ychwanegu rheol ddilyffethair yn y cyfeiriad arall i wneud i bethau weithio yn lledu'r polisi ymhell y tu hwnt i'r un gwasanaeth ac nid oes ei hangen ar gyfer cyfnewidiad cais-ac ateb arferol. Cadwch y llwybr dychwelyd yn ymhlyg a'r set rheolau yn ddarllenadwy.

Cymhwyswch y rheol dim ond ar ôl i'r rhediad prawf gyd-fynd â'ch bwriad, yna cadarnhewch fod y rhestr drefnus yn ei dangos yn y safle a ddisgwylir. Cadwch wrandawr y VPN a'r rheolau rheoli fel materion ar wahân, oherwydd mae newid y rheini'n benderfyniad gwahanol i addef un rhaglen. Nodwch y newid yn yr un lle ag y mae'r topoleg wedi'i hysgrifennu, fel nad oes rhaid i'r peiriannydd nesaf ei ailddarganfod o ddalfa pecynnau.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Gwiriwch yr hyn na all UFW ei orfodi drosoch

Mae angen anfon ymlaen yn y cnewyllyn a llwybr sy'n cyrraedd y gwasanaeth ar reol gywir o hyd. Cadarnhewch y ddau cyn beio'r mur ffug yr eildro.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Yna edrychwch y tu allan i'r gwestaiwr. Ar enghraifft cwmwl nid yw polisi UFW y gwestai yn disodli grwpiau diogelwch, ACLau isrwydwaith na chyfluniad anfon ymlaen y darparwr ei hun, felly mae bloc lleol yn dystiolaeth am un haen yn hytrach na phrawf bod pob haen arall yn caniatáu'r gwasanaeth.

Gorffennwch drwy brofi cysylltiad newydd gyda'r mur ffug yn alluog, o ffynhonnell a ganiateir ac o un nad yw'n gysylltiedig. Mae analluogi UFW yn tynnu'r symptom ac yn dinistrio'r dystiolaeth yn yr un gorchymyn, a dyna pam y dylai fod yr arbrawf olaf yn hytrach na'r cyntaf.