UFW arau berria, konexio zaharra: ezarritako egoerak irabazten du

UFW bideratze-ukapen mugatuak lehengo arauek dagoeneko onartu duten trafikoa saltatzen du. Ikusi non txertatu eta zer uzten duen oraindik ezarritako egoerak.

Ukapen-arau bat gehitzea eta deskarga ireki bat jarraitzen ikustea ez da UFWren akatsa. Gehitu duzun araua fluxua dagoeneko onartu duten arauen ondoren dago, eta lehenago ezarritako konexio batek haiekin bat egiten jarraitzen du. Horren konponbideak leku egokian txertatzea eta aurreko arauek zer agintzen duten ulertzea eskatzen du. Aldaketaren bertsio estuena da ondokoa.

Ordenak erabakitzen du, ez arauaren existentziak

UFW netfilter arauak etapaka idazten dituen aurrealde bat da: erabiltzailearen arauen aurretik exekutatzen den marko atal bat, gero erabiltzailearen arauak beraiek, eta gero horien ondoren exekutatzen den atal bat. Lehengo arau estandarrek ezarritako eta erlazionatutako konexioen trafikoa onartzen dute, eta arau horiek zuk allow edo deny arrunt batekin gehitzen duzun edozer baino lehen ebaluatzen dira. UFW komandoen erreferentziak txertatzeko sintaxia eta aldaketak mendekoa duen egoera-ikuspegi zenbakiduna dokumentatzen ditu.

Ordena horrek azaltzen du sorpresa. Zure arau berria benetakoa da eta taula egokian dago, baina ez da paketeak aurkitzen duen lehen erabakia. Dagoeneko ezarritzat jarraitzen den konexio bat ez da inoiz hara iristen.

Erabili route arauak lan honetarako, paketea atebidearen bidez birbidaltzen delako, ez atebidearen zerbitzuei zuzenduta. Sarrera-arau batek trafiko okerra iragaziko luke eta ezer egiten ez duela dirudike.

Txertatu baimen zabalaren gainetik

Aurreikusi txertaketa aplikatu aurretik, eta egiaztatu araua ez dagoela jada zerrendan beste inon. Politika berdin bat bikoizteak geroagoko kentzea anbiguo egiten du, eta kopia okerra kentzen duenak ez du astebetez ohartuko.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Aurrebistak espero duzun posizioan arau bakarra erakusten badu, aplikatu komando bera dry-run banderarik gabe. 1 posizioak erabiltzaile-baimen zabalagoen gainetik jartzen du, ez lehenago aztertutako marko-arauen gainetik. Egiaztatu interfazearen izena atebide honetako tunel-gailuarekin bat datorrela, jada existitzen ez den interfaze bati lotutako araua zerrendan egongo baita zuzena emanez, ezer ez dabilen bitartean. Aldatu gailuaren erreferentzia aplikatu aurretik, ez probak huts egin ondoren.

Arau horretan ez da helmuga-porturik agertzen, beraz helbide horretako TCP portu guztiak ukatzen ditu, ez soilik HTTPS. Helburua zerbitzu bakarra bada, izenda ezazu portua; politikaren baino zabalagoa den araua lehen irakurlearen zain dagoen etorkizuneko gertakaria da.

Muga ezazu iturria helbide bakarrera soilik helbide hori aurreikusitako identitateari lotua badago. Esleipen dinamikoko VPN pool batek helbide bera beste bezero bati eman diezaioke bihar, eta ukapenak helbidea jarraituko luke, ez pertsona.

Ezarritako fluxuek arau berria gainditzen dute

Konexioen jarraipena da existitzen den saioa jarraitzearen arrazoia. Fluxua ezarritzat erregistratzen denean, lehengo arauek bere paketeak onartzen dituzte zure ukapena kontsultatu aurretik, eta transferentzia ezer aldatu ez balitz bezala amaitzen da. Horregatik, konexio irekia berrerabiltzen duen nabigatzaile batekin probatzeak ez dizu ezer esaten politika berriaz. Ukapen bat erabilgaitza eman dezake hedapenaren ondorengo minutuetan eta erabat eraginkorra hurrengo konektatzen den erabiltzailearentzat.

Baldintzak zuzeneko trafikoa moztea barne hartzen badu, erabiltzaile-arauaren aldaketa honek ezin du hori eman. Jarraitutako egoera baliogabetzea bere inpaktu-erradioa duen ekintza bereizia da, eta suebakiaren jabearena da, ez araua gehitu zuenarena. Atebide bateko konexio guztiak hustea saio bat desager dadin bigarren gertakari bat sortzen duen konponketa mota da.

Gogoratu mugak ere. Arau honek ez du ezer esaten ICMP, UDP edo IPv6ri buruz, beraz ping arrakastatsua ez da ukapenak huts egin duen froga. IPv4 helbide bat ere ez da webgune bat: izen bat hainbat helbidetara ebatz daiteke, eta izendatu duzuna baino ez dago estalita.

Probatu fluxu berri batekin

Irakurri zenbakidun erabiltzaile-arauak eta benetako ikuspegi gordina, eta gero ireki konexio berri bat hautatutako bezeroatik:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Ikuspegi gordina garrantzitsua da status eskuz idatzitako marko-arauak baztertzen dituelako, beraz ordena nukleoak inposatzen duenaren desberdina eman dezake. Konparatu biak araua leku okerrean dagoela ondorioztatu aurretik.

Gero egiaztatu araua estua eta ez zabala dela frogatzen duten bi kontrolak: bezero beraren helmuga baimenduak oraindik funtzionatzen du, eta bigarren bezero batek ukatutako helmugara iristen jarraitzen du bere politikak onartzen badu. Bi probak hausten dituen ukapena politika-aldaketa da, ez neurri zuzendua.

Proba amaitutakoan, kendu soilik gehitu duzun araua, zehazki errepikatuz. Politika iraunkorra bada, eman suebakiaren jabeari bezeroaren identitatearekin, helmugaren jabearekin eta berrikuspen-datarekin, tunel-helbide berresleitu batek ukapen zaharkitua atzean ez uzteko.

Erlazionatutako artikuluak