Nije UFW-regel, âlde ferbining: de fêstige steat wint

In ôfwizingsregel tafoegje en sjen dat in iepen download trochgiet is gjin UFW-bug. De regel dy’t jo tafoege hawwe stiet nei regels dy’t de stream al akseptearre hawwe, en in ferbining dy’t earder fêstige is, bliuwt dermei oerienkomstich. Dat reparearje betsjut ynfoegje op ’e juste posysje en begripe wat de eardere regels ta sizze hawwe. De smelle ferzje fan dy feroaring folget.

De folchoarder beslút, net it bestean fan ’e regel

UFW is in front-end dy’t netfilter-regels yn fazen skriuwt: in ramdiel dat foar de brûkersregels rint, dan de brûkersregels sels, dan in diel dat dêrnei rint. De standert regels foarôf akseptearje ferkear fan fêstige en besibbe ferbiningen, en dy regels wurde evaluearre foarôf foar alles wat jo mei in gewoane allow of deny tafoegje. De UFW-kommandoreferinsje dokumintearret de ynfoegsyntaksis en de nûmere statuswerjefte dêr’t dizze feroaring fan ôfhinget.

Dy oarder ferklearret de ferrassing. Jo nije regel is echt en hy stiet yn ’e juste tabel, mar hy is net it earste beslút dat it pakket tsjinkomt. In ferbining dy’t al as fêstige folge wurdt, berikt him nea.

Brûk route-regels foar dit wurk, om’t it pakket troch de gateway trochstjoerd wurdt ynstee fan oan ’e eigen tsjinsten fan ’e gateway rjochte te wêzen. In ynfierregel soe it ferkearde ferkear filterje en lykje as docht er neat.

Foegje boppe de brede tastimming yn

Foarbyld de ynfoeging foardat jo har tapasse, en befêstigje dat de regel net al earne oars yn ’e list stiet. In identike belied duplisearje makket letter ferwiderjen dûbelsinnich, en wa’t de ferkearde kopy fuorthellet, merkt it wikenlang net.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

As de foarbyld de krekt iene regel op ’e posysje docht bliken dy’t jo ferwachtsje, tapasje dan itselde kommando sûnder de dry-run-flagge. Posysje 1 set him boppe de bredere brûkerstastimmingen, net boppe de ramdregels dy’t earder besprutsen binne. Befêstigje dat de ynterfacenamme by it tunnelapparaat op dizze gateway past, want in regel dy’t bûn is oan in ynterface dy’t net mear bestiet, sil yn ’e list stean en der korrekt út sjen wylst er neat past. Feroarje de apparaatferwizing foar’t jo tapasje, net nei’t de test mislearre is.

Der stiet gjin bestimmingspoarte yn dy regel, dus hy wegeret elke TCP-poarte op dat adres ynstee fan allinnich HTTPS. As de bedoeling ien tsjinst is, neam dan de poarte; in regel breder as it belied is in takomstich ynsidint dat op syn earste lêzer wachtet.

Behein de boarne ta ien adres allinnich as dat adres bûn is oan ’e bedoelde identiteit. In VPN-pool mei dynamyske tawizing kin moarn itselde adres oan in oare kliïnt jaan, en de ôfwizing soe it adres folgje ynstee fan ’e persoan.

Fêstige streamen oerlibje de nije regel

Ferbiningstracking is de reden dat de besteande sesje trochgiet. Sadree’t in stream as fêstige registrearre is, akseptearje de regels foarôf syn pakketten foardat jo ôfwizing rieplachte wurdt, en de oerdracht einiget as wie der neat feroare. Dêrom fertelt testen mei in browser dy’t in iepen ferbining werbrûkt jo neat oer it nije belied. In ôfwizing kin minuten nei útrôljen nutteleas lykje en foar de folgjende brûker dy’t ferbynt folslein effektyf wêze.

As de eask it ôfsnijen fan libbend ferkear omfettet, kin dizze brûkersregelferoaring dat net leverje. It weromlûken fan folge steat is in aparte aksje mei syn eigen ynfloedsfear, en hy heart by de firewall-eigner ynstee fan by wa’t de regel tafoege hat. Alle ferbiningen op in gateway leegje om ien sesje ferdwine te litten is it soarte reparaasje dat in twadde ynsidint makket.

Tink ek oan de grinzen. Dizze regel seit neat oer ICMP, UDP of IPv6, dus in slagge ping is gjin bewiis dat de ôfwizing mislearre. Ien IPv4-adres is ek gjin website: in namme kin nei ferskate adressen oplosse, en allinnich it iene dat jo neamden wurdt dekt.

Test mei in frisse stream

Lês de nûmere brûkersregels en de effektive rûge werjefte, en iepenje dan in nije ferbining fan ’e keazen kliïnt:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

De rûge werjefte is wichtich om’t status ramdregels weilitten hat dy’t mei de hân skreaun binne, dus it kin de oarder oars lykje litte as wat de kernel hanthavent. Fergelykje de beide foardat jo konkludearje dat in regel op ’e ferkearde plak stiet.

Kontrolearje dan de twa kontrôles dy’t bewize dat de regel beheind is en net breed: in tastiene bestimming fan deselde kliïnt wurket noch, en in twadde kliïnt berikt de wegere bestimming noch as syn belied dat tastiet. In ôfwizing dy’t beide tests brekt, is in beliedsferoaring, gjin rjochte maatregel.

As de test dien is, ferwiderje allinnich de regel dy’t jo tafoege hawwe, troch him presys te werheljen. As it belied permanint is, jou it oan ’e firewall-eigner mei de kliïntidentiteit, de eigner fan ’e bestimming en in beoardielingsdatum, sadat in opnij tawiisd tunneladres gjin ferâldere ôfwizing efterlit.