UFW-útsûndering foar VPN as it einpuntadres feroaret

De klant besiket wer te ferbinen en der giet neat de masine út, ek al wurke itselde profyl ferline wike. De einpunt-hostnamme lost no op in oar adres, en de útgeande útsûndering neamt noch de âlde. Dat iene ferâldere tastimming is genôch om in wurkjende kill switch yn in folsleine stoaring te feroarjen, en it is ûnsichtber yn elke statusoanwizer dy’t it burobyld toant. De reparaasje is in lytse wurkstream, gjin bewurking fan ien rigel.

De tunnel ferbynt wer, en dan giet der neat mear út

In útgeande regel dy’t in bestimmingsadres neamt is in momintopname, en DNS-antwurden binne dat net. As de provider in adres rotearret, past it pakket dat de klant nei de nije peer stjoert op neat en wurdt troch de standertwegering fuortgoaid. De klant meldt dan in tiidferrin, wat klinkt as in serverprobleem ynstee fan in firewallprobleem.

It adres fêstsette dat in iepenbiere syktocht weromjout lit hjoed wurkje en lit moarn stikken. Dat is in ienmalige bewurking, gjin ûnderhâldsbelied.

Beskriuw de útsûndering dy’t jo echt bedoele

Begjin mei de fjouwer wearden op te skriuwen dy’t de regel nedich hat: de goedkarde einpuntnamme of adresset, it ferfier, de bestimmingspoarte en de ynterface dêr’t it pakket troch út giet. Alle fjouwer binne diel fan ’e tastimming, en elk dêrfan kin ferkeard wêze wylst de regel noch leauwensweardich liket. In regel dy’t op trije fan harren goed is, mislearret krekt itselde as in regel dy’t op alle fjouwer ferkeard is. Skriuw se op foardat jo it kommando type, want in regel is mar sa goed as de beskriuwing derachter.

It kommando hjirûnder toant de foarm foar ien IPv4 UDP-einpunt op in betriede uplink. Ferfange beide wearden troch dy’t jo tsjin de útrôl ferifiearre hawwe.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Dy tastimming autorisearret gjin willekeurige bestimmingen op deselde poarte, makket gjin listener oan en dekt gjin TCP. De UFW-hantliedingsside beskriuwt hoe’t adres, ynterface en protokol in regel ferkringe, en dy ferkring is it hiele punt.

Fernij it as ien wurkstream

Behandelje de útsûndering as in boarne mei in eigner en in oergong, net as in kommando dat immen betinkt om te draaien. Krij earst in kandidaat út it eigen resolver en einpuntynventaris fan ’e útrôl, en beskerm bewust hoe’t dy namme oplost foardat de tunnel bestiet. Falidiearje de kandidaat dan tsjin it bedoelde protokol, de poarte en de adresfamylje foardat jo de regelset oanreitsje.

Ynstallearje earst de nije smelle tastimming en befêstigje dat dy laden is, want de klant freegje om in adres te brûken dat de firewall noch blokkearret, jout in flater dy’t op in serverflater liket. Lit oanbesibbe regels ûnoanroer by de feroaring.

Observearje de oergong fan de klant fia syn stipe werferbiningspaad en befêstigje hokker ôfstânadres er keas. Allinnich DNS bywurkje ferpleatst gjin besteande socket, en in ynstelling foar einpuntbestindigens kin de klant lang by de âlde peer hâlde nei’t it record feroare is.

Lûk úteinlik de ferâldere tastimming bewust werom, en lit it goedkarde oerlaapfinster ta wylst in âlde sesje noch aktyf is. De âlde ynfier te betiid fuorthelje soarget foar in koarte stoaring; it foar altyd litte lit in tastimming efter dy’t gjinien ferklearje kin.

Lûk de âlde tastimming bewust werom

It fuortheljen is dêr’t it measte risiko sit, want de âlde regel is it iennige dat no wurket. As de ynstallaasje fan ’e kandidaat mislearre, gean dan net troch en wiskje net de ynfier dy’t noch ferkear draacht. As it fuortheljen sels mislearret, registrearje de ferâldere tastimming dan as ferâldere ynstee fan it belied aktueel te ferklearjen.

Werhelje de hiele resinsje as de uplink fan Ethernet nei Wi-Fi feroaret, as it ferfier feroaret, of as in tsjinst oer ferskate adressen rotearret. In ynterfacespesifike regel heart nei in netwurkferoaring net mear te passen, en dat gedrach is goed ek al liket it op in regression.

Bewiis it kontrakt dêrnei mei ûngefaarlik ferkear. It goedkarde einpunt moat by de opset berikber wêze, de beskerme applikaasje moat wurkje sadree’t er ferbûn is, en net-relatearre direkte ferkear moat by in stoaring blokkearre bliuwe. Nim beide adresfamyljes en ien bewust mislearre bywurkingspoging op, want in ferbining dy’t slagget nei ien bewurking fan in fêstset adres bewiist gjin fan dy gefallen.