استثنای UFW برای VPN هنگامی که نشانی نقطه پایانی تغییر می‌کند

کارخواه تلاش می‌کند دوباره وصل شود و چیزی از دستگاه خارج نمی‌شود، هرچند همان نمایه هفته پیش کار می‌کرد. نام میزبان نقطه پایانی اکنون به نشانی دیگری حل می‌شود و استثنای خروجی هنوز نشانی قدیمی را نام می‌برد. همان یک اجازه کهنه کافی است تا یک کلید قطع کارآمد را به قطع کامل تبدیل کند و در هیچ نشانگر وضعیتی که رومیزی نشان می‌دهد دیده نمی‌شود. تعمیر یک گردش‌کار کوچک است، نه ویرایش یک خط.

تونل دوباره وصل می‌شود و سپس چیزی خارج نمی‌شود

قاعده خروجی که نشانی مقصد را نام می‌برد یک عکس لحظه‌ای است و پاسخ‌های DNS چنین نیستند. وقتی ارائه‌دهنده نشانی را می‌چرخاند، بسته‌ای که کارخواه به سمت همتای جدید می‌فرستد با چیزی منطبق نمی‌شود و با منع پیش‌فرض دور انداخته می‌شود. سپس کارخواه پایان مهلت را گزارش می‌کند که بیشتر شبیه مشکل کارساز است تا مشکل دیوار آتش.

سنجاق‌کردن نشانی‌ای که یک جست‌وجوی عمومی برمی‌گرداند امروز را کار می‌اندازد و فردا را خراب می‌گذارد. آن یک ویرایش یک‌باره است، نه یک سیاست نگهداری.

استثنایی را که واقعاً در نظر دارید توصیف کنید

با نوشتن چهار مقداری شروع کنید که قاعده به آن‌ها نیاز دارد: نام یا مجموعه نشانی نقطه پایانی تأییدشده، انتقال، درگاه مقصد و واسطی که بسته از آن خارج می‌شود. هر چهار مورد بخشی از اجازه‌اند و هر یک از آن‌ها می‌تواند اشتباه باشد در حالی که قاعده هنوز محتمل به نظر می‌رسد. قاعده‌ای که در سه مورد از آن‌ها درست است دقیقاً همان‌گونه شکست می‌خورد که قاعده‌ای که در هر چهار مورد غلط است. آن‌ها را پیش از تایپ فرمان بنویسید، چون قاعده تنها به اندازه توضیحی که پشت آن است خوب است.

فرمان زیر شکل یک نقطه پایانی IPv4 UDP را روی یک پیوند سیمی نشان می‌دهد. هر دو مقدار را با مقادیری که در برابر استقرار تأیید کرده‌اید جایگزین کنید.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

آن اجازه مقصدهای دلبخواه روی همان درگاه را مجاز نمی‌کند، شنونده‌ای نمی‌سازد و TCP را پوشش نمی‌دهد. صفحه راهنمای UFW توصیف می‌کند که چگونه نشانی، واسط و پروتکل یک قاعده را تنگ می‌کنند و همین تنگ‌کردن تمام نکته است.

آن را به‌عنوان یک گردش‌کار به‌روز کنید

با استثنا مانند منبعی با مالک و گذار رفتار کنید، نه مانند فرمانی که کسی یادش می‌ماند اجرا کند. نخست نامزدی از حل‌کننده و فهرست نقاط پایانی خود استقرار بگیرید و آگاهانه تعریف کنید که آن نام پیش از وجود تونل چگونه حل می‌شود. سپس نامزد را در برابر پروتکل، درگاه و خانواده نشانی مورد نظر پیش از دست‌زدن به مجموعه قواعد اعتبارسنجی کنید.

نخست اجازه تنگ جدید را نصب کنید و تأیید کنید که بارگذاری شده است، چون خواستن از کارخواه برای استفاده از نشانی‌ای که دیوار آتش هنوز مسدودش می‌کند خطایی پدید می‌آورد که شبیه خرابی کارساز است. قواعد نامرتبط را در طول تغییر دست‌نخورده بگذارید.

گذار کارخواه را از مسیر اتصال دوباره پشتیبانی‌شده مشاهده کنید و تأیید کنید کدام نشانی راه دور را برگزید. تنها به‌روزرسانی DNS یک سوکت موجود را جابه‌جا نمی‌کند و تنظیم ماندگاری نقطه پایانی می‌تواند کارخواه را مدت‌ها پس از تغییر رکورد روی همتای قدیمی نگه دارد.

در پایان اجازه کهنه را آگاهانه کنار بگذارید و پنجره همپوشانی تأییدشده را تا زمانی که نشست قدیمی هنوز فعال است مجاز بدانید. برداشتن زودهنگام مدخل قدیمی قطع کوتاهی پدید می‌آورد; نگه‌داشتن همیشگی آن اجازه‌ای باقی می‌گذارد که هیچ‌کس نمی‌تواند توضیح دهد.

اجازه قدیمی را آگاهانه کنار بگذارید

برداشتن جایی است که بیشترین خطر نهفته، چون قاعده قدیمی تنها چیزی است که اکنون کار می‌کند. اگر نصب نامزد شکست خورد، ادامه ندهید و مدخلی را که هنوز ترافیک می‌برد پاک نکنید. اگر خود برداشتن شکست خورد، اجازه کهنه را کهنه ثبت کنید به‌جای اینکه سیاست را جاری اعلام کنید.

کل بازبینی را تکرار کنید وقتی پیوند از Ethernet به Wi-Fi تغییر می‌کند، وقتی انتقال عوض می‌شود یا وقتی سرویسی میان چند نشانی می‌چرخد. قرار است قاعده‌ای که به واسط ویژه است پس از تغییر شبکه دیگر منطبق نشود و این رفتار درست است حتی اگر شبیه پس‌رفت به نظر برسد.

سپس قرارداد را با ترافیک بی‌خطر اثبات کنید. نقطه پایانی تأییدشده باید در طول راه‌اندازی قابل دسترسی باشد، برنامه محافظت‌شده باید پس از اتصال کار کند و ترافیک مستقیم نامرتبط باید در طول قطع مسدود بماند. هر دو خانواده نشانی و یک تلاش به‌روزرسانی عمداً شکست‌خورده را بگنجانید، چون اتصالی که پس از یک ویرایش نشانی سنجاق‌شده موفق می‌شود هیچ‌یک از آن حالت‌ها را اثبات نمی‌کند.