Eithriad UFW ar gyfer VPN pan fydd cyfeiriad y pen draw yn newid

Mae’r cleient yn ceisio ailgysylltu ac nid oes unrhyw beth yn gadael y peiriant, er bod yr un proffil wedi gweithio yr wythnos diwethaf. Mae enw’r pen draw bellach yn datrys i gyfeiriad gwahanol, ac mae’r eithriad allan yn dal i enwi’r hen un. Mae’r un caniatâd hen ffasiwn yn ddigon i droi kill switch sy’n gweithio yn ddiffyg llwyr, ac mae’n anweledig ym mhob dangosydd statws a ddangosir ar y bwrdd gwaith. Llif gwaith bach yw’r atgyweiriad, nid golygiad un llinell.

Mae’r twnnel yn ailgysylltu, yna nid oes unrhyw beth yn gadael

Mae rheol allan sy’n enwi cyfeiriad cyrchfan yn snapshot, ac nid yw atebion DNS felly. Pan fydd y darparwr yn cylchdroi cyfeiriad, nid yw’r pecyn y mae’r cleient yn ei anfon tuag at y peer newydd yn cyfateb i unrhyw beth ac fe’i gollwng gan y gwaharddiad diofyn. Yna mae’r cleient yn adrodd am derfyn amser, sy’n swnio fel problem gweinydd yn hytrach na phroblem wal dân.

Mae pinio pa bynnag gyfeiriad y mae chwiliad cyhoeddus yn ei ddychwelyd yn gwneud i heddiw weithio ac yn gadael yfory yn doredig. Golygiad un tro yw hwnnw, nid polisi cynnal a chadw.

Disgrifiwch yr eithriad yr ydych yn ei olygu mewn gwirionedd

Dechreuwch drwy ysgrifennu’r pedwar gwerth y mae’r rheol eu hangen: enw neu set cyfeiriadau’r pen draw a gymeradwywyd, y cludiant, y porth cyrchfan a’r rhyngwyneb y mae’r pecyn yn gadael drwyddo. Mae’r pedwar i gyd yn rhan o’r caniatâd, a gall unrhyw un ohonynt fod yn anghywir tra bo’r rheol yn dal i edrych yn gredadwy. Mae rheol sy’n gywir ar dri ohonynt yn methu yn union yr un ffordd â rheol sy’n anghywir ar bob un o’r pedwar. Ysgrifennwch hwy cyn teipio’r gorchymyn, oherwydd nid yw rheol yn well na’r disgrifiad y tu ôl iddi.

Mae’r gorchymyn isod yn dangos y ffurf ar gyfer un pen draw IPv4 UDP ar uplink gwifrog. Amnewidiwch y ddau werth gyda’r rhai a wiriwyd gennych yn erbyn y defnyddiad.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Nid yw’r caniatâd hwnnw’n awdurdodi cyrchfannau mympwyol ar yr un porth, nid yw’n creu gwrandawr ac nid yw’n cwmpasu TCP. Mae tudalen lawlyfr UFW yn disgrifio sut mae cyfeiriad, rhyngwyneb a phrotocol yn culhau rheol, a’r culhau hwnnw yw’r pwynt i gyd.

Adnewyddwch ef fel un llif gwaith

Triniwch yr eithriad fel adnodd sydd â pherchennog a throsglwyddiad, nid fel gorchymyn y mae rhywun yn cofio ei redeg. Yn gyntaf, sicrhewch ymgeisydd o ddatryswr a rhestr pen draw’r defnyddiad ei hun, a diffiniwch yn fwriadol sut y mae’r enw hwnnw’n cael ei ddatrys cyn bod y twnnel yn bodoli. Yna dilyswch yr ymgeisydd yn erbyn y protocol, y porth a’r teulu cyfeiriad a fwriadwyd cyn cyffwrdd â’r set rheolau.

Gosodwch y caniatâd cul newydd yn gyntaf, a chadarnhewch ei fod wedi llwytho, oherwydd gofyn i’r cleient ddefnyddio cyfeiriad y mae’r wal dân yn dal i’w rwystro sy’n cynhyrchu methiant sy’n edrych fel nam gweinydd. Cadwch reolau di-gysylltiad yn ddigyfnewid yn ystod y newid.

Arsylwch drosglwyddiad y cleient drwy ei lwybr ailgysylltu a gefnogir a chadarnhewch pa gyfeiriad pell y dewisodd. Nid yw diweddaru DNS yn unig yn symud soced sy’n bodoli, a gall gosodiad parhaus y pen draw gadw’r cleient ar yr hen peer ymhell ar ôl i’r cofnod newid.

Yn olaf, tynnwch yr hen ganiatâd yn ôl yn fwriadol, gan ganiatau’r ffenestr gorgyffwrdd a gymeradwywyd tra bo hen sesiwn yn dal yn weithredol. Mae tynnu’r hen gofnod yn rhy gynnar yn cynhyrchu diffyg byr; mae ei adael am byth yn gadael caniatâd na all unrhyw un ei esbonio.

Tynnwch yr hen ganiatâd yn ôl yn fwriadol

Tynnu’r caniatâd yw lle mae’r rhan fwyaf o’r risg, oherwydd yr hen reol yw’r unig beth sy’n gweithio ar hyn o bryd. Os methodd gosod yr ymgeisydd, peidiwch â pharhau a dileu’r cofnod sy’n dal i gario traffig. Os yw’r tynnu ei hun yn methu, cofnodwch y caniatâd darfodedig fel un darfodedig yn lle datgan bod y polisi yn gyfredol.

Ailadroddwch y cyfan o’r adolygiad pan fydd yr uplink yn newid o Ethernet i Wi-Fi, pan fydd y cludiant yn newid, neu pan fydd gwasanaeth yn cylchdroi ar draws sawl cyfeiriad. Mae rheol sy’n benodol i ryngwyneb i fod i roi’r gorau i gyfateb ar ôl newid rhwydwaith, ac mae’r ymddygiad hwnnw’n gywir er ei fod yn edrych fel dirywiad.

Profwch y contract wedyn gyda thraffig diniwed. Rhaid i’r pen draw a gymeradwywyd fod yn gyrraeddadwy yn ystod y gosodiad, rhaid i’r cymhwysiad gwarchodedig weithio ar ôl cysylltu, a rhaid i draffig uniongyrchol di-gysylltiad aros yn rhwystredig yn ystod diffyg. Cynhwyswch y ddau deulu cyfeiriad ac un ymgais diweddaru a fethodd yn fwriadol, oherwydd nid yw cysylltiad sy’n llwyddo ar ôl un golygiad cyfeiriad wedi’i binio yn profi’r un o’r achosion hynny.