In firewall fan in Linux-distribúsje kin jo VPN-ferkear blokkearje

De tunnel komt omheech, it loch seit ferbûn, en ien applikaasje kin noch altyd neat berikke. Op in Linux-klant betsjut dat meastentiids dat in firewall fan ’e distribúsje in paad filteret dat de VPN-klant nea beheard hat. Twa behearders kinne tagelyk aktyf wêze, elk mei syn eigen ideeën oer de ynterface, de sône en de rjochting fan it ferkear. De eigner identifisearje foardat jo eat bewurkje is flugger as regels besykje oant eat wurket.

Fyn de behearder en de backend

Begjin mei wat eins laden is, net mei wat ynstallearre is. In distribúsje kin firewalld, ufw en in gewoane nftables-tsjinst leverje, en mar ien fan harren besit de rinnende regelset. De pakketten libje freedsum njonken elkoar, en in regel dy’t fia de ferkearde foarkant ynfierd wurdt berikt nea de kernel. Lês de aktive tsjinst, lês dan de regelset dy’t dy produsearre hat.

De backend is like wichtich as de foarkant. In firewalld-ynstallaasje kin nftables of de âlde iptables-backend oanstjoere ôfhinklik fan ferzje en konfiguraasje, en dy twa jouwe ferskillende ynspeksje-útfier. Skriuw de distribúsje, de ferzje en de backend yn it ticket foardat jo jo systeem mei in hokker hantlieding dan ek fergelykje.

Bring de rjochting en de ynterface yn oerienstimming

In útgongsfersyk fan in klant, in ynkommende listener en in trochstjoerd pakket gean troch ferskillende heakken, en in regel foar ien dekt de oaren net. In sône dy’t it lokale LAN tastean, befettet faak net de tunnel-ynterface of de VPN-adrespûl. In tunnel-ynterface lânet meastentiids yn ’e standertsône, dy’t faak stranger is as de sône dêr’t de fysike adapter sits. Dy mismatch ferklearret wêrom’t browse op it LAN wurket en stopt op it momint dat de tunnel omheech komt.

Freegje hokker rjochting mislearre foardat jo in regel kieze. In applikaasje dy’t net nei bûten ferbine kin, hat it útgongspaad nedich, wylst in ynkommende tsjinst it yngongspaad op ’e tunnel-ynterface nedich hat. In regel oan ’e ferkearde keten tafoegje leveret in feroaring dy’t tapast liket en hielendal neat docht.

Hâld de regeleigners byinoar

De heak fan in VPN-klant, in container-runtime en de tsjinst fan ’e distribúsje kinne allegear it netwurk feroarje, en se koördinearje net mei elkoar. Mei de hân ynfierde regels ferdwine by de folgjende werladen, en regels dy’t yn ’e keten fan in behearder ynfoege binne, kinne yn in folchoarder beoardiele wurde dy’t jo net bedoeld hiene. Brûk de bliuwende konfiguraasje fan ’e behearder en ynspektearje de resultearjende regelset ynstee fan it bestân dat jo skreaun hawwe. De hiele firewall útskeakelje om’t ien tsjinst net berikber is, ruilet in lyts probleem foar in grut ien.

Smelle tellers binne de goede keapmanear om de wegere stream te finen. In lochregel beheind ta ien bestimming en ien poarte lit sjen oft de drip lokaal bart sûnder it ferkear fan oaren op te fangen. Ferwiderje de lochregel as it ûndersyk einiget, want it is diagnostyk en gjin belied, en de sône-dokumintaasje fan firewalld ferklearret hoe’t ynterfaces en tsjinsten kombinearje.

Kontrolearje de oplossing sûnder de ôfsluting te ferliezen

Ynspektearje de tapaste tastân mei de behearder dy’t it besit, mei opdrachten dy’t passe by de backend dy’t jo notearre hawwe. De list hjirûnder giet derfan út dat firewalld de baas is; ferfange troch it ekwivalint foar nftables of ufw ynstee fan se allegear te draaien. Ark minge yn ien sesje is hoe’t in masine mei twa tsjinstridige regelsets einiget.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

It earste opdracht neamt de sônes en de ynterfaces dy’t dêroan tawiisd binne, wat sjen lit wêr’t de tunnel eins lâne is. It twadde prints de regels en tsjinsten fan in sône, sadat jo sjen kinne oft de VPN-ynterface hielendal dekt is. De nftables-list is de grûnwierheid foar de backend dy’t brûkt wurdt, en in regel dy’t allinnich yn in konfiguraasjebestân bestiet, ferskynt dêr net. Fergelykje de trije útfieringen mei de regel dy’t jo tafoege hawwe, en de mismatch neamt himsels meastentiids.

Werhelje dan it oarspronklike fersyk en it flatergedrach dat jo easkje. In nij wurkjende side is net genôch as deselde feroaring de ôfsluting fan ’e klant fuorthelle hat, test dan ek in ûnbeskerme paad. Notearje de behearder, backend, ynterface en it doel fan ’e regel, want in pakketfernijing dy’t in twadde behearder nij libben jout, sil oars de hiele rommel wer opbouwe.