Riail nua UFW, nasc sean: bíonn an lámh in uachtar ag an staid bhunaithe

Ní fabht UFW é riail diúltaithe a chur leis agus a fheiceáil go leanann íoslódáil oscailte ar aghaidh. Tá an riail a chuir tú leis suite tar éis rialacha a ghlac leis an sreabhadh cheana, agus leanann nasc a bunaíodh níos luaithe de bheith ag teacht leo. Chun é sin a shocrú caithfidh tú í a chur isteach san áit cheart agus tuiscint a fháil ar cad a gheallann na rialacha roimhe seo. Seo a leanas an leagan cúng den athrú sin.

Is é an t-ord a shocraíonn, ní hé bheith ann na rialach

Is é UFW aghaidh thosaigh a scríobhann rialacha netfilter ina gcéimeanna: roinn chreata a ritheann roimh rialacha an úsáideora, ansin rialacha an úsáideora féin, ansin roinn a ritheann ina ndiaidh. Glacann na rialacha réamhshocraithe roimh le trácht na nasc bunaithe agus gaolmhar, agus déantar na rialacha sin a mheas roimh gach rud a chuireann tú leis le allow nó deny rialta. Déanann treoir ordaithe UFW doiciméadú ar an gcomhréir ionsáite agus ar an amharc uimhrithe stádais a bhfuil an t-athrú seo ag brath orthu.

Míníonn an t-ord sin an t-iontas. Tá do riail nua fíor agus tá sí sa tábla ceart, ach ní hé an chéad chinneadh a fhéachann an phaicéad uirthi. Ní shroicheann nasc a bhfuiltear ag déanamh faireacháin air mar nasc bunaithe í riamh.

Úsáid rialacha route don obair seo, mar déantar an phaicéad a sheoladh ar aghaidh tríd an tslí bhealaigh seachas a bheith dírithe ar sheirbhísí an tslí bhealaigh féin. Dhéanfadh riail ionchuir an trácht mícheart a scagadh agus bheadh cuma air nach ndéanann sé tada.

Cuir isteach os cionn an cheada leithid

Réamhamharc ar an ionsá roimh í a chur i bhfeidhm, agus dearbhaigh nach bhfuil an riail ann cheana in áit eile sa liosta. Déanann polasaí comhionann a dhúbailt an bhaint amach níos déanaí débhríoch, agus ní thabharfaidh an duine a bhaineann an chóip mhícheart amach faoi deara é ar feadh seachtainí.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Má thaispeánann an réamhamharc go díreach aon riail amháin san áit a bhfuiltear ag súil léi, cuir an t-ordú céanna i bhfeidhm gan an bratach dry-run. Cuireann suíomh 1 í os cionn na gceadanna úsáideora níos leithne, ní os cionn na rialacha creata a pléadh níos luaithe. Dearbhaigh go dtagann ainm an chomhéadain le feiste an tolláin ar an tslí bhealaigh seo, mar fanfaidh riail atá teoranta d’achar nach bhfuil ann a thuilleadh sa liosta ag féachaint go ceart agus gan a bheith ag teacht le haon rud. Athainmnigh an tagairt feiste sula gcuireann tú i bhfeidhm í, ní tar éis don tástáil teip.

Níl aon phort cinn scríbe sa riail sin, mar sin diúltaíonn sí do gach port TCP ag an seoladh sin seachas do HTTPS amháin. Má tá sé i gceist agat seirbhís amháin a dhéanamh, ainmnigh an port; is eachtra amach anseo riail atá níos leithne ná an polasaí agus í ag fanacht lena chéad léitheoir.

Cuir teorainn leis an bhfoinse le seoladh amháin ach amháin má tá an seoladh sin ceangailte leis an bhféiniúlacht atá beartaithe. D’fhéadfadh comhthiomsú VPN le leithdháileadh dinimiciúil an seoladh céanna a thabhairt do chliant eile amárach, agus leanfadh an diúltú an seoladh seachas an duine.

Maireann sreafaí bunaithe an riail nua

Is é rianú nasc an chúis a leanann an seisiún atá ann. Nuair a thaifeadtar sreabhadh mar shreabhadh bunaithe, glacann na rialacha roimh lena phaicéid sula gcuirtear do dhiúltú san áireamh, agus críochnaíonn an t-aistriú amhail nár athraigh tada. Dá bhrí sin ní insíonn tástáil le brabhsálaí a athúsáideann nasc oscailte aon rud duit faoin bpolasaí nua. Féadfaidh diúltú breathnú gan úsáid nóiméid tar éis na himscartha agus a bheith go hiomlán éifeachtach don chéad úsáideoir eile a nascann.

Má chuimsíonn an ceanglas trácht beo a ghearradh, ní féidir leis an athrú seo ar riail úsáideora é a sholáthar. Is gníomh ar leith é an staid rianaithe a chúlghairm lena raon tionchair féin, agus baineann sé le húinéir an bhalla dhóiteáin seachas le duine ar bith a chuir an riail leis. Is éard atá i ndíchur gach nasctha ar tslí bhealaigh chun go n-imíonn seisiún amháin ná an cineál socrúcháin a chruthaíonn dara heachtra.

Cuimhnigh ar na teorainneacha freisin. Ní deir an riail seo aon rud faoi ICMP, UDP ná IPv6, mar sin ní cruthúnas é ping rathúil gur theip ar an diúltú. Ní suíomh Gréasáin é seoladh IPv4 amháin ach an oiread: is féidir le hainm réiteach go seoltaí éagsúla, agus ní chumhdaítear ach an ceann a d’ainmnigh tú.

Tástáil le sreabhadh úr

Léigh na rialacha úsáideora uimhrithe agus an t-amharc amh éifeachtach, ansin oscail nasc nua ón gcliant roghnaithe:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Tá tábhacht leis an amharc amh mar fhágann status rialacha creata a scríobhadh de láimh ar lár, mar sin féadfaidh sé an t-ord a dhéanamh cuma difriúil ón méid a fhorchuireann an t-eithne. Cuir an dá rud i gcomparáid sula dtagann tú ar an gconclúid go bhfuil riail san áit mhícheart.

Ansin seiceáil an dá rialú a chruthaíonn go bhfuil an riail teoranta seachas leathan: oibríonn ceann scríbe ceadaithe ón gcliant céanna go fóill, agus sroicheann dara cliant an ceann scríbe diúltaithe fós má cheadaíonn a pholasaí é. Is athrú polasaí é diúltú a bhriseann an dá thástáil, ní beart sprice.

Nuair a bheidh an tástáil thart, ní bhain ach an riail a chuir tú leis, trí í a athlua go beacht. Má tá an polasaí buan, tabhair d’úinéir an bhalla dhóiteáin é mar aon le féiniúlacht an chliaint, úinéir an chinn scríbe agus dáta athbhreithnithe, ionas nach bhfágfaidh seoladh tolláin a athshanntar diúltú seanbhunaithe ina dhiaidh.