Ní dhearna ufw allow 443 tada do sheirbhís taobh thiar den VPN

Éiríonn le ping ó chliant VPN, téann an tseirbhís TCP thar am, agus ní athraíonn ufw allow 443/tcp aon rud ar chor ar bith. Nuair a ritheann an feidhmchlár ar óstach taobh thiar den gheata seachas ar an ngeata féin, scríobhadh an cead sin don bhealach tráchta mícheart. Ní bhíonn an paicéad dírithe ar an mballaphíobán agus ní sheachadtar chuig próiseas áitiúil é, mar sin ní fheiceann na rialacha ionchuir é riamh. Is é an deisiú riail bealaigh atá dírithe ar an sruth a sheoltar ar aghaidh, agus tá an fhianaise chuige sin sa logáil cheana féin.

Socraigh an bhfuil an ceann scríbe áitiúil nó seolta ar aghaidh

Léigh an paicéad mar a fheiceann an t-eithne é. Is ionchur áitiúil an trácht a sheachadtar chuig seirbhís ar an ngeata. Is seolta ar aghaidh an trácht a sheolann an geata ar aghaidh chuig óstach eile, agus coinníonn UFW tacair rialacha ar leithligh don dá bhealach. Is é an seoladh ceann scríbe agus an chuardach bealaigh a shocraíonn an t-idirdhealú, ní an comhéadan ar tháinig an paicéad air.

Is féidir le líne logála a thaispeánann an comhéadan céanna i réimsí IN agus OUT cur síos a dhéanamh ar phaicéad ródaithe fós, mar go bhfuil cuma díreach mar sin ar thollán a iompraíonn cliaint isteach agus amach as aon ghléas amháin. Réitíonn an seoladh ceann scríbe an cheist níos tapúla ná ainmneacha na gcomhéadan. Ní chruthaíonn feiceáil an ainm chéanna faoi dhó seachadadh áitiúil, agus ní chabhraíonn sé ach an oiread comhéadan tolláin a cheapadh nach ndearna an t-imscaradh riamh.

Léigh an bloc sula gcuireann tú aon riail leis

Atáirg aon iarracht amháin ceangail údaraithe agus taifead a foinse, a cheann scríbe, a phrótacal agus a chalafort ceann scríbe mar a thaifead an geata iad. Cuir an ceithre luach sin i gcomparáid leis an iontráil logála agus le fíorláthair na seirbhíse. Ní chruthaíonn ping rathúil níos luaithe ach go raibh a mhalartú féin ceadaithe, agus féadfaidh ballaphíobán TCP SYN chuig feidhmchlár a láimhseáil ar bhealach iomlán difriúil.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Filleann an chéad ordú an breithiúnas lena réimsí, agus taispeánann an dara ceann cad atá luchtaithe cheana agus i cén t-ord. Léigh an dá cheann sula ndéanann tú aon rud a chur in eagar, mar go míníonn diúltú níos luaithe os cionn do rialach an tsiomptóm céanna gan aon riail ar iarraidh.

Scríobh an riail bealaigh is cúinge a oireann

Sa sampla seo tagann cliaint ar tun0 ó 172.20.8.0/24, éisteann an tseirbhís ar 10.30.0.15 ag calafort 8443, agus fágann an geata trí ens5. Roghnaíodh na luachanna sin le nach mbeadh cuma ar bith orthu mar réamhshocrú VPC scamall de 10.0.0.0/16 ná mar líonra baile de 192.168.0.0/16, agus coinníonn 8443 an sampla i bhfad ó éisteoir 443 an gheata féin.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Priontálann an triail-rith an tacar rialacha a thiocfadh as, agus sin an bealach is saoire le feiceáil an dtiteann do riail roimh dhiúltú atá ann cheana nó ina dhiaidh. Deimhnigh ainmneacha na gcomhéadan agus na seoltaí istigh i gcoinne an imscartha seachas i gcoinne an tsampla, agus cuimhnigh nuair a ritheann NAT ceann scríbe ar dtús go bhfeiceann an scagaire an ceann scríbe aistrithe.

Coinnigh an bealach ar ais le staid

Rianaíonn UFW naisc cheadaithe, mar sin glactar le freagraí ar shruth seolta ar aghaidh atá ceadaithe gan riail chomhthreomhar shainráite. Méadaíonn sé an pholasaí i bhfad thar an aon tseirbhís amháin riail neamhshrianta a chur leis sa treo eile chun rudaí a chur ag obair, agus níl sí de dhíth le haghaidh malartú iarratais agus freagartha normálta. Coinnigh an bealach ar ais intuigthe agus an tacar rialacha inléite.

Cuir an riail i bhfeidhm ach amháin nuair a réitíonn an triail-rith le do rún, agus ansin deimhnigh go dtaispeánann an liosta ordaithe í san ionad a bhfuiltear ag súil leis. Coinnigh éisteoir an VPN agus na rialacha bainistíochta mar ábhair ar leithligh, óir is cinneadh difriúil iad a athrú ná cead a thabhairt d'aon fheidhmchlár amháin. Nóta an t-athrú san áit chéanna a bhfuil an topolaíocht scríofa, ionas nach mbeidh ar an innealtóir seo chugainn é a athfhionnachtáil ó ghabháil paicéad.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Seiceáil cad nach féidir le UFW a fhorfheidhmiú ar do shon

Teastaíonn seoladh aghaidh an eithne agus bealach a shroicheann an tseirbhís ó riail cheart fós. Deimhnigh an dá rud sula gcuireann tú an milleán ar an mballaphíobán an dara huair.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Ansin féach lasmuigh den óstach. Ar ásc scamall ní thagann polasaí UFW an aoi in ionad grúpaí slándála, ACLanna fo-líonra ná cumraíocht seolta aghaidh an tsoláthraí féin, mar sin is fianaise faoi aon chiseal amháin bloc áitiúil agus ní cruthúnas go gceadaíonn gach ciseal eile an tseirbhís.

Críochnaigh trí nasc nua a thástáil agus an ballaphíobán cumasaithe, ó fhoinse cheadaithe agus ó cheann nach bhfuil bainteach. Baineann díchumasú UFW an tsiomptóm agus scriosann sé an fhianaise san ordú céanna, agus is ar an ábhar sin gurb é an turgnamh deireanach ba cheart a bheith ann seachas an chéad cheann.