Fajroŝirmilo de Linux-distribuaĵo povas bloki vian VPN-trafikon

La tunelo ekfunkcias, la protokolo diras konektita, kaj unu aplikaĵo ankoraŭ ne atingas ion ajn. Ĉe Linux-kliento tio kutime signifas, ke fajroŝirmilo de la distribuaĵo filtradas vojon, kiun la VPN-kliento neniam administris. Du administriloj povas esti aktivaj samtempe, ĉiu kun propraj ideoj pri la interfaco, la zono kaj la direkto de trafiko. Identigi la posedanton antaŭ ol redakti ion estas pli rapide ol provi regulojn ĝis io funkcias.

Trovu la administrilon kaj la backend

Komencu per tio, kio estas efektive ŝarĝita, ne per tio, kio estas instalita. Distribuaĵo povas liveri firewalld, ufw kaj ordinaran nftables-servon, kaj nur unu el ili posedas la kurantan regulkompleton. La pakaĵoj pace kunekzistas, kaj regulo enigita tra la malĝusta fasado neniam atingas la kernon. Legu la aktivan servon, poste legu la regulkompleton, kiun ĝi produktis.

La backend same gravas kiel la fasado. Instalaĵo de firewalld povas peli nftables aŭ la malnovan backend iptables laŭ versio kaj agordo, kaj ambaŭ produktas malsaman inspektan eligon. Skribu la distribuaĵon, la version kaj la backend en la bileton antaŭ ol kompari vian sistemon kun iu ajn gvidilo.

Kunordigu la direkton kaj la interfacon

Eliranta klientpeto, eniranta aŭskultanto kaj plusendita pakaĵo trairas malsamajn hokojn, kaj regulo por unu ne kovras la aliajn. Zono, kiu permesas la lokan LAN, ofte ne inkluzivas la tunelan interfacon aŭ la VPN-adresaron. Tunela interfaco kutime surteriĝas en la defaŭlta zono, kiu ofte estas pli severa ol la zono de la fizika adaptilo. Tiu misagordo klarigas, kial retumado funkcias en la LAN kaj haltas en la momento, kiam la tunelo ekfunkcias.

Demandu, kiu direkto malsukcesis, antaŭ ol elekti regulon. Aplikaĵo, kiu ne povas konektiĝi eksteren, bezonas la eliran vojon, dum eniranta servo bezonas la eniran vojon ĉe la tunela interfaco. Aldoni regulon al la malĝusta ĉeno produktas ŝanĝon, kiu aspektas aplikita kaj tute nenion faras.

Tenu la regulposedantojn konsentaj

Hoko de VPN-kliento, uja plenummedio kaj la distribua servo povas ĉiuj modifi la reton, kaj ili ne kunordigas unu kun la alia. Mane enigitaj reguloj malaperas ĉe la sekva reŝargo, kaj reguloj enmetitaj en la ĉenon de administrilo povas esti taksitaj laŭ ordo, kiun vi ne intencis. Uzu la daŭran agordon de la administrilo kaj inspektu la rezultan regulkompleton anstataŭ la dosieron, kiun vi skribis. Malŝalti la tutan fajroŝirmilon ĉar unu servo estas neatingebla interŝanĝas malgrandan problemon kontraŭ granda.

Mallarĝaj nombriloj estas la malmultekosta maniero trovi la malakceptitan fluon. Protokola regulo limigita al unu celo kaj unu pordo montras, ĉu la forĵeto okazas loke sen kapti la trafikon de iu alia. Forigu la protokolan regulon kiam la esploro finiĝas, ĉar ĝi estas diagnozo, ne politiko, kaj la zona dokumentaro de firewalld klarigas, kiel kombiniĝas interfacoj kaj servoj.

Kontrolu la riparon sen perdi la ŝlosadon

Inspektu la aplikitan staton per la administrilo, kiu posedas ĝin, uzante komandojn kongruajn kun la registrita backend. La suba listo supozas, ke firewalld respondecas; anstataŭigu per la ekvivalento por nftables aŭ ufw anstataŭ ruli ĉiujn. Miksi ilojn en unu seanco estas kiel maŝino finiĝas kun du konfliktaj regulkompletoj.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

La unua komando nomas la zonojn kaj la interfacojn atribuitajn al ili, kio montras, kie la tunelo efektive surteriĝis. La dua presas la regulojn kaj servojn de zono, do vi povas vidi, ĉu la VPN-interfaco estas entute kovrita. La listo de nftables estas la baza vero por la uzata backend, kaj regulo, kiu ekzistas nur en agorda dosiero, ne aperas tie. Komparu la tri eligojn kun la regulo, kiun vi aldonis, kaj la misagordo kutime nomas sin mem.

Poste ripetu la originan peton kaj la malsukcesan konduton, kiun vi postulas. Nova funkcianta retejo ne sufiĉas, se la sama ŝanĝo forigis la ŝlosadon de la kliento, do testu ankaŭ neprotektitan vojon. Registru la administrilon, la backend, la interfacon kaj la celon de la regulo, ĉar pakaĵa ĝisdatigo, kiu revivigas duan administrilon, alie rekonstruos la tutan ĥaoson.