Linux-jakelun palomuuri voi estää VPN-liikenteesi

Tunneli nousee, loki sanoo yhdistetty, ja yksi sovellus ei silti tavoita mitään. Linux-asiakkaassa se tarkoittaa yleensä sitä, että jakelun palomuuri suodattaa polkua, jota VPN-asiakas ei koskaan hallinnut. Kaksi hallintaa voi olla aktiivisena yhtä aikaa, kummallakin omat käsityksensä rajapinnasta, vyöhykkeestä ja liikenteen suunnasta. Omistajan tunnistaminen ennen mitään muutosta on nopeampaa kuin sääntöjen kokeileminen, kunnes jokin toimii.

Etsi hallinta ja taustajärjestelmä

Aloita siitä, mikä on todella ladattu, älä siitä, mikä on asennettu. Jakelu voi toimittaa firewalldin, ufw:n ja tavallisen nftables-palvelun, ja vain yksi niistä omistaa käynnissä olevan sääntökokonaisuuden. Paketit elävät sovussa rinnakkain, eikä väärän etuosan kautta syötetty sääntö koskaan saavuta ydintä. Lue aktiivinen palvelu ja lue sitten sääntökokonaisuus, jonka se tuotti.

Taustajärjestelmä on yhtä tärkeä kuin etuosa. firewalld-asennus voi ohjata nftablesia tai vanhaa iptables-taustajärjestelmää versiosta ja kokoonpanosta riippuen, ja molemmat tuottavat erilaisen tarkastustulosteen. Kirjoita jakelu, versio ja taustajärjestelmä tikettiin ennen kuin vertaat järjestelmääsi mihinkään oppaaseen.

Sovita suunta ja rajapinta yhteen

Lähtevä asiakaspyyntö, saapuva kuuntelija ja edelleen välitetty paketti kulkevat eri koukkujen läpi, eikä yhden sääntö kata muita. Vyöhyke, joka sallii paikallisen LAN-verkon, ei usein sisällä tunnelirajapintaa tai VPN-osoitealuetta. Tunnelirajapinta laskeutuu yleensä oletusvyöhykkeelle, joka on usein tiukempi kuin vyöhyke, jolla fyysinen sovitin sijaitsee. Tämä ristiriita selittää, miksi selailu toimii LAN-verkossa ja pysähtyy heti, kun tunneli nousee.

Kysy, mikä suunta epäonnistui, ennen kuin valitset säännön. Sovellus, joka ei voi yhdistää ulospäin, tarvitsee lähtöpolun, kun taas saapuva palvelu tarvitsee tulopolun tunnelirajapinnalla. Säännön lisääminen väärään ketjuun tuottaa muutoksen, joka näyttää käytetyltä eikä tee yhtään mitään.

Pidä sääntöjen omistajat samaa mieltä

VPN-asiakkaan koukku, konttien suoritusympäristö ja jakelun palvelu voivat kaikki muuttaa verkkoa, eivätkä ne koordinoi keskenään. Käsin syötetyt säännöt katoavat seuraavassa uudelleenlatauksessa, ja hallinnan ketjuun liitetyt säännöt voidaan arvioida järjestyksessä, jota et tarkoittanut. Käytä hallinnan pysyvää kokoonpanoa ja tarkasta syntyvä sääntökokonaisuus sen sijaan, että katsoisit kirjoittamaasi tiedostoa. Koko palomuurin sammuttaminen siksi, että yksi palvelu on tavoittamattomissa, vaihtaa pienen ongelman suureen.

Kapeat laskurit ovat halpa tapa löytää hylätty virta. Yhteen kohteeseen ja yhteen porttiin rajattu kirjaussääntö näyttää, tapahtuuko pudotus paikallisesti ilman, että kenenkään muun liikennettä siepataan. Poista kirjaussääntö tutkinnan päätyttyä, koska se on diagnostiikkaa eikä käytäntöä, ja firewalldin vyöhykedokumentaatio selittää, miten rajapinnat ja palvelut yhdistyvät.

Tarkista korjaus menettämättä lukitusta

Tarkasta käytetty tila sitä hallitsevalla hallinnalla käyttäen komentoja, jotka vastaavat kirjaamaasi taustajärjestelmää. Alla oleva luettelo olettaa, että firewalld on vastuussa; korvaa se nftablesin tai ufw:n vastineella sen sijaan, että ajaisit kaikki. Työkalujen sekoittaminen yhdessä istunnossa on se, miten kone päätyy kahteen ristiriitaiseen sääntökokonaisuuteen.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Ensimmäinen komento nimeää vyöhykkeet ja niille osoitetut rajapinnat, mikä näyttää, mihin tunneli todella laskeutui. Toinen tulostaa vyöhykkeen säännöt ja palvelut, joten näet, onko VPN-rajapinta ylipäätään katettu. nftables-luettelo on käytetyn taustajärjestelmän perustotuus, eikä sääntö, joka on olemassa vain kokoonpanotiedostossa, näy siellä. Vertaa kolmea tulostetta lisäämääsi sääntöön, ja ristiriita yleensä nimeää itsensä.

Toista sitten alkuperäinen pyyntö ja vaatimasi virhekäyttäytyminen. Äskettäin toimiva sivusto ei riitä, jos sama muutos poisti asiakkaan lukituksen, joten testaa myös suojaamaton polku. Kirjaa hallinta, taustajärjestelmä, rajapinta ja säännön tarkoitus, koska toisen hallinnan herättävä pakettipäivitys rakentaisi muuten koko sotkun uudelleen.