UFWren segurtasun-etengailuak zure VPNa blokeatzen du? Baimendu parekidea

Egiaztapen-zerrendari jarraitu zenion: ukatu irteera, baimendu tunela, gaitu ufw. Orduan bezeroa eskuko keinuaren zain geratzen da eta ez da inoiz konektatzen, edo konektatzen da eta ez da orrialderik kargatzen. Bi hutsegiteak hutsune beretik datoz. Tunela existitzea ahalbidetzen duen araua falta da, tunela ez delako zure paketeak ateratzen diren interfaze bat.

Zergatik ez datorren bat tun0-eko baimen bat ezerrekin hasieran

tun0 bezeroak sortzen du saio bat dagoenean. Saio hori eraikitzen duten datagramak 1194 portuan hornitzaileari zuzendutako UDP pakete arruntak dira, eta wlan0 edo eth0 bidez irteten dira jatorri-helbide fisikoarekin. allow out on tun0 irteerako interfazea tun0 duen trafikoarekin bakarrik dator bat, beraz eskuko keinuaren zehar ez dator bat ezerrekin.

Jarri default deny outgoing horren gainean eta kanpoko paketeak baztertzen dira interfazea agertu baino lehen. Bezeroak berriro saiatzen da, denbora amaitzen da eta TLS edo eskuko keinuaren hutsegitea jakinarazten du, eta horrek jendea ziurtagiriak eta MTU arakatzera bidaltzen du suebakiak konexioa isilpean jaten duen bitartean. Zure trafikoa edukitzea zuen arauak trafiko hori edukitzea eragozten du.

Erreflexuzko konponketak ihesa iraunkorra egiten du. sudo ufw allow out on wlan0, edo lehenetsia berriro baimenera aldatzeak tunela altxatzen du eta makina segurtasun-etengailurik gabe uzten du: hurrengoan tunela erortzen denean, dena adaptagailu fisikoaren bidez berriz hasten da. Arratsalde bat galdu nuen zehazki bi aldaketa horiekin, benetan zein pakete iragazten nuen argitu aurretik.

Zer behar duten bi pakete multzoek

Zure trafikoak suebakia bitan zeharkatzen du, bi formatan. Barneko paketea tunelaren helbidetik irteten da tun0 bidez. Kanpoko paketea helbide fisikotik parekidera doa, eta kablean ikus daitekeen gauza bakarra da. Arau bat forma bakoitzeko:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Ordezkatu helbidea eta portua zure profilkoekin. WireGuard parekideek normalean 51820/udp-n erantzuten dute; TCP 443 bidez doazen OpenVPN profilek portu hori behar dute horren ordez. Xehetasunak desberdinak dira, forma ez: bi arauak estu dira, eta elkarrekin tunela behera dagoenean makinak irits daitezkeen helmuga bakarrak definitzen dituzte.

Ordena da bigarren mitoa. iptables gordinarekin katea goitik behera irakurtzen duzu eta zein arauk irabazten duen arrazoitzen duzu. ufw ez da idatzi duzun zerrendaren inguruko bilgarri mehea; zure arauak bere kate propioetan konpilatzen ditu eta txertatze-puntuak aukeratzen ditu. ufw status ufwren ordenan inprimatzen ditu, ez zurean. Arau bat baztertuta dagoela dirudienean, alderatu ufw show added konpilatutako multzoarekin iptables -S | grep ufw ezer berridatzi aurretik.

Salbuespenak helbide bat zabal izan behar du

Parekide-arau bat zuzena da bezeroak markatzen duen helbidea izendatzen duen bitartean. Hornitzaileek muturrak biratzen dituzte, eta ostalari-izena ebazten duen profil bat DNS aldaketari jarraituko dio helbide berri batera, arauak zaharrean seinalatzen jarraitzen duen bitartean. Hilabeteetan funtzionatu duen tunel bat altxatzeari uzten dionean, alderatu arauko helbidea bezeroak bilatzen duenarekin ezer zabaldu aurretik.

Azpisare oso batera edo 1194 portuko helmuga guztietara zabaltzeak politika berriz zulo bat duen suebaki bihurtzen du. Salbuespena segurtasun-etengailua da; zabala denetik, ez da gelditzeko ezer geratzen. Eutsi helbide bakarrean eta utzi profila eta hornitzailea izendatzen dituen iruzkina, sei hilabete barru helbidea arbitrarioa dirudiko baita.

Izen-ebazpenak bere lerroa merezi du. Bilaketa tunela existitu baino lehen gertatzen da, interfaze fisikoaren bidez, beraz irteera ukatzen duen politika zorrotz batek bezeroa bere zerbitzaria aurkitu ezinik utz dezake. Baimendu 53 portua zure ebazlearen helbidera, edo ebatzi behin eta finkatu helbidea profilean. DNS interfaze guztietan baimentzea erabakia da, ez lehenetsia.

Eraiki politika tunela beharrezkoa izan aurretik

ufw enable politika osoa batera aplikatzen du eta bere kateak berriz kargatzen ditu, eta martxan dagoen suebaki batean lehenetsitako politika aldatzeak haiek ere berriz kargatzen ditu. ufw eskuliburua ohartarazten du horrek SSH bezalako lehendik dauden konexioak bota ditzakeela. Beraz komandoak ordena honetan doaz, SSH araua gaitu aurretik eta kontsolako saio bat irekita:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset nahita utzi da bloke horretatik kanpo. Arau guztiak ezabatzen ditu eta suebakia desgaitzen du, eta urrutiko ostalari batean hurrengo gaitzea da zure saioa botatzen duena. Berrezartzen baduzu, gehitu SSH araua eta baieztatu kontsolaren bidez itzultzeko bigarren bidea aurrera egin aurretik.

Segidak ez du kosmetikarik. ufw martxan dagoela gehitutako arauek ez dute ezer garbitzen, baina lehenetsitako politika iraultzen duzun unean kateak berriz kargatzen dira, eta politika zaharrak baimentzen zuen saioa haiekin joaten da. Egin lehenetsiak, baimenak eta gaitzea pase bat bakarrean, oraindik makinaren menpe ez dagoen sarbide bat duzun bitartean.

Probatu blokeatutako egoera, eta gorde atzera egitea

Probatu gabeko segurtasun-etengailua susmoa da. Deskonektatu bezeroa nahita eta saiatu orrialde bat kargatzen: huts egin behar du. Berriz konektatu eta arau bat ukitu gabe berreskuratu behar du. sudo ufw status verbose lehenetsiak eta erregistroaren egoera baieztatzen ditu, eta ufw status numbered frogako zein arau ezabatu erakusten du, bere helburua gainditzen duenean.

Eduki alderantzizko scripta aurrerakoaren ondoan. Irteera ukapena eta tunel hila dituen makinak ezin du bere konponketa deskargatu, beraz atzera egitea diskoan egon behar da eta kontsolatik irakurgarria:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Exekutatu tunela jada behera dagoenean eta arauak kendu behar direnean, ez ohiko urrats gisa. Terminala itxi aurretik, lau gauzak bete behar dute: parekide-arauak helbide bat zehazki izendatzen du, DNSak izendatutako salbuespena du, gaitzea baimenen ondoren etorri zen, eta tunela tiratzeak trafiko arrunta hiltzen du bezeroa betiko hil gabe.