UFW-Ausnahme für VPN, wenn sich die Endpunktadresse ändert

Der Client versucht, sich erneut zu verbinden, und doch verlässt kein Paket den Rechner, obwohl dasselbe Profil letzte Woche noch funktioniert hat. Der Endpunkt-Hostname löst inzwischen auf eine andere Adresse auf, und die Ausgangsausnahme nennt noch die alte. Diese eine veraltete Freigabe genügt, um aus einem funktionierenden Kill-Switch einen Totalausfall zu machen, und sie bleibt in jeder Statusanzeige des Desktops unsichtbar. Die Reparatur ist ein kleiner Ablauf und keine einzeilige Änderung.

Der Tunnel verbindet sich neu, dann geht nichts mehr hinaus

Eine Ausgangsregel, die eine Zieladresse nennt, ist eine Momentaufnahme, und DNS-Antworten sind es nicht. Rotiert der Anbieter eine Adresse, passt das Paket, das der Client zum neuen Peer sendet, auf keine Regel und wird von der Standard-Sperre verworfen. Der Client meldet dann einen Timeout, was eher nach einem Serverproblem als nach einem Firewallproblem klingt.

Die Adresse festzuschreiben, die eine öffentliche Abfrage gerade liefert, lässt heute funktionieren und morgen scheitern. Das ist eine einmalige Änderung, keine Wartungsrichtlinie.

Beschreiben Sie die Ausnahme, die Sie wirklich meinen

Notieren Sie zuerst die vier Werte, die die Regel braucht: den freigegebenen Endpunktnamen oder Adressbereich, das Transportprotokoll, den Zielport und die Schnittstelle, über die das Paket den Rechner verlässt. Alle vier gehören zur Freigabe, und jedes davon kann falsch sein, während die Regel noch plausibel aussieht. Eine Regel, die bei drei davon stimmt, scheitert genauso wie eine Regel, die bei allen vier falsch liegt. Schreiben Sie sie auf, bevor Sie den Befehl tippen, denn eine Regel ist nur so gut wie die Beschreibung dahinter.

Der folgende Befehl zeigt die Form für einen IPv4-UDP-Endpunkt an einem kabelgebundenen Uplink. Ersetzen Sie beide Werte durch die, die Sie gegen die Bereitstellung geprüft haben.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Diese Freigabe erlaubt keine beliebigen Ziele auf demselben Port, erzeugt keinen Listener und deckt kein TCP ab. Die Handbuchseite zu UFW beschreibt, wie Adresse, Schnittstelle und Protokoll eine Regel einengen, und genau diese Einengung ist der Punkt.

Als einen Ablauf erneuern

Behandeln Sie die Ausnahme als Ressource mit einem Verantwortlichen und einem Übergang, nicht als einen Befehl, an den sich jemand erinnert. Holen Sie zuerst einen Kandidaten aus dem Resolver und dem Endpunktinventar der Bereitstellung und legen Sie bewusst fest, wie dieser Name aufgelöst wird, bevor der Tunnel existiert. Prüfen Sie den Kandidaten dann gegen das vorgesehene Protokoll, den Port und die Adressfamilie, bevor Sie das Regelwerk anfassen.

Installieren Sie zuerst die neue enge Freigabe und bestätigen Sie, dass sie geladen wurde, denn einen Client auf eine Adresse zu schicken, die die Firewall noch blockt, erzeugt einen Fehler, der wie ein Serverfehler aussieht. Lassen Sie unabhängige Regeln während der Änderung unangetastet.

Beobachten Sie den Übergang des Clients über seinen unterstützten Wiederverbindungspfad und bestätigen Sie, welche Gegenstelle er gewählt hat. Nur den DNS-Eintrag zu aktualisieren verschiebt keinen bestehenden Socket, und eine Einstellung zur Endpunktpersistenz kann den Client noch lange beim alten Peer halten, nachdem sich der Eintrag geändert hat.

Ziehen Sie schließlich die überholte Freigabe bewusst zurück und lassen Sie dabei das genehmigte Überlappungsfenster zu, solange eine alte Sitzung noch aktiv ist. Den alten Eintrag zu früh zu entfernen erzeugt einen kurzen Ausfall; ihn für immer zu behalten hinterlässt eine Freigabe, die niemand erklären kann.

Die alte Freigabe bewusst zurückziehen

Die Entfernung ist der Punkt, an dem das meiste Risiko liegt, denn die alte Regel ist derzeit das Einzige, was funktioniert. Wenn die Installation des Kandidaten fehlgeschlagen ist, fahren Sie nicht fort und löschen Sie nicht den Eintrag, der noch Verkehr trägt. Wenn die Entfernung selbst scheitert, vermerken Sie die veraltete Freigabe als veraltet, statt die Richtlinie für aktuell zu erklären.

Wiederholen Sie die gesamte Prüfung, wenn der Uplink von Ethernet auf WLAN wechselt, wenn sich das Transportprotokoll ändert oder wenn ein Dienst über mehrere Adressen rotiert. Eine schnittstellenspezifische Regel soll nach einem Netzwerkwechsel nicht mehr greifen, und dieses Verhalten ist korrekt, auch wenn es wie eine Regression aussieht.

Beweisen Sie den Vertrag danach mit unschädlichem Verkehr. Der freigegebene Endpunkt muss während der Einrichtung erreichbar sein, die geschützte Anwendung muss nach dem Verbindungsaufbau funktionieren, und unabhängiger direkter Verkehr muss während eines Ausfalls blockiert bleiben. Decken Sie beide Adressfamilien und einen absichtlich fehlgeschlagenen Aktualisierungsversuch ab, denn eine Verbindung, die nach einer einzigen Änderung an einer festgeschriebenen Adresse gelingt, beweist keinen dieser Fälle.