An gcuireann lasc stoptha UFW bac ar do VPN? Ceadaigh an piara

Lean tú an tseicliosta: diúltaigh amach, ceadaigh an tollán, cumasaigh ufw. Ansin fanann an cliant ag an crann lámh agus ní nascann sé riamh, nó nascann sé agus ní lódálann aon leathanach. Tagann an dá theip ón mbearna chéanna. Tá an riail a ligeann don tollán a bheith ann ar iarraidh, mar ní comhéadan é an tollán a dtagann do phaicéid amach as.

Cén fáth nach bhfreagraíonn cead ar tun0 do rud ar bith ar dtús

Cruthaíonn an cliant tun0 tar éis seisiún a bheith ann. Is gnáthphaicéid UDP iad na datagraim a thógann an seisiún sin a sheoltar chuig an soláthraí ar phort 1194, agus téann siad amach trí wlan0 nó eth0 leis an seoladh foinse fhisiceach. allow out on tun0 ní fhreagraíonn sé ach do thrácht a bhfuil a chomhéadan amach ina tun0, mar sin le linn an chrainn lámh ní fhreagraíonn sé do rud ar bith.

Cuir default deny outgoing air sin agus caitear na paicéid sheachtracha sula dtagann an comhéadan chun solais ar chor ar bith. Déanann an cliant iarracht arís, téann sé as am agus tuairiscíonn sé teip TLS nó crann lámh, rud a chuireann daoine ag cuardach trí theastais agus MTU agus an balla dóiteáin ag ithe an naisc go ciúin. Tá an riail a bhí le do thrácht a choinneáil istigh ag stopadh an tráchta sin a choinneáil istigh.

Déanann an réiteach frithluailthe an sceitheadh buan. sudo ufw allow out on wlan0, nó an réamhshocrú a chur ar ais go cead, tógann sé an tollán agus fágann sé an meaisín gan lasc stoptha: an chéad uair eile a thiteann an tollán, atosaíonn gach rud thar an oiriúnóir fisiceach. Chaill mé tráthnóna ar an bpéire athruithe sin go díreach sular oibrigh mé amach cén paicéad a bhí á scagadh agam i ndáiríre.

Cad a theastaíonn ón dá shraith paicéad

Trasnaíonn do thrácht an balla dóiteáin faoi dhó, i dhá chruth. Ritheann an paicéad istigh ó sheoladh an tolláin amach trí tun0. Ritheann an paicéad amuigh ón seoladh fisiceach chuig an piara, agus is é an t-aon rud a fheictear ar an sreang. Riail amháin in aghaidh an chrutha:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Cuir an seoladh agus an port in ionad na ndaoine ó do phróifíl féin. Freagraíonn piaraí WireGuard de ghnáth ar 51820/udp; teastaíonn an port sin ó phróifílí OpenVPN a théann thar TCP 443 ina ionad. Tá na sonraí difriúil, an cruth nach bhfuil: tá an dá riail cúng, agus le chéile sainmhíníonn siad na cinn scríbe amháin ar féidir leis an meaisín iad a bhaint amach agus an tollán síos.

Is é an t-ord an dara miotas. Le iptables amh léann tú an slabhra ó bharr go bun agus déanann tú réasúnaíocht faoi cén riail a bhuann. Ní cumhdach tanaí é ufw timpeall an liosta a chlóscríobh tú; tiomsaíonn sé do rialacha ina shlabhraí féin agus roghnaíonn sé na pointí ionsáite. ufw status priontálann sé iad in ord ufw, ní in ord do chuid féin. Nuair a fheictear riail á neamhaird, cuir i gcomparáid ufw show added leis an tsraith thiomsaithe ó iptables -S | grep ufw sula ndéanfaidh tú aon rud a athscríobh.

Caithfidh an eisceacht fanacht chomh leathan le seoladh amháin

Níl riail phiara ceart ach amháin fad a ainmníonn sí an seoladh a dhiailíonn an cliant. Rothlaíonn soláthraithe críochphointí, agus leanfaidh próifíl a réitíonn óstainm athrú DNS chuig seoladh nua agus an riail fós ag díriú ar an seanchinn. Nuair a stopann tollán a d'oibrigh ar feadh míonna ag teacht aníos, cuir seoladh na rialach i gcomparáid leis an gceann a bhfuil an cliant ag iarraidh air sula leathnaíonn tú aon rud.

Iompaíonn leathnú chuig fo-líonra iomlán, nó chuig gach ceann scríbe ar phort 1194, an polasaí arís ina bhall dóiteáin a bhfuil poll ann. Is é an eisceacht an lasc stoptha; a luaithe a bhíonn sé leathan, níl aon rud fágtha le stopadh. Coinnigh ar sheoladh amháin é agus fág nóta a ainmníonn an phróifíl agus an soláthraí lena mbaineann sé, mar i gceann sé mhí beidh cuma treallach ar an seoladh.

Tá a líne féin tuillte ag réiteach ainmneacha. Tarlaíonn an chuardach sula mbíonn an tollán ann, thar an gcomhéadan fisiceach, mar sin féadann polasaí dian diúltú amach an cliant a fhágáil gan a bheith in ann a fhreastalaí féin a aimsiú. Ceadaigh port 53 chuig seoladh do réiteora, nó réitigh uair amháin agus bior an seoladh sa phróifíl. Is cinneadh é DNS a cheadú ar gach comhéadan, ní réamhshocrú.

Tóg an polasaí sula mbeidh gá leis an tollán

ufw enable cuireann sé an polasaí iomlán i bhfeidhm ag an am céanna agus athlódálann a shlabhraí, agus athlódálann athrú réamhshocraithe ar bhall dóiteáin atá ag rith iad freisin. lámhleabhar ufw tugann sé rabhadh go bhféadfadh sé seo naisc atá ann cheana a ligean ar lár, ar nós SSH. Mar sin téann na horduithe san ord seo, leis an riail SSH roimh an gcumasaú agus seisiún consóil oscailte:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset fágtar as an mbloc sin d'aon ghnó. Scriosann sé gach riail agus díchuireann sé an balla dóiteáin, agus ar óstach cianda is é an cumasaú ina dhiaidh sin a ligeann do sheisiún ar lár. Má dhéanann tú athshocrú, cuir an riail SSH leis agus deimhnigh an dara bealach ar ais trí chonsól sula dtéann tú níos faide.

Níl an t-ordúchán cosmaideach. Ní shruthálann rialacha a chuirtear leis agus ufw ag rith aon rud, ach an nóiméad a iompaíonn tú réamhshocrú athlódáiltear na slabhraí, agus téann seisiún a cheadaigh an seanpholasaí leo. Déan na réamhshocruithe, na ceadanna agus an cumasaú in aon bhealach amháin, agus bealach isteach fós agat nach mbraitheann ar an meaisín.

Tástáil an staid bhacáilte, agus coinnigh an cealú

Is buille faoi thuairim é lasc stoptha nach bhfuil tástáilte. Dícheangail an cliant d'aon ghnó agus déan iarracht leathanach a lódáil: caithfidh sé teip. Athnasc agus caithfidh sé téarnamh gan aon riail a bhaint. sudo ufw status verbose deimhníonn sé na réamhshocruithe agus staid an logála, agus ufw status numbered taispeánann sé cén riail tástála atá le scriosadh nuair a mhaireann sí thar a cuspóir.

Coinnigh an script droim ar ais in aice leis an gceann tosaigh. Ní féidir le meaisín a bhfuil diúltú amach agus tollán marbh aige a dheisiú féin a íoslódáil, mar sin caithfidh an cealú a bheith ar an diosca agus inléite ó chonsól:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Rith é nuair a bhíonn an tollán síos cheana agus bíonn na rialacha le baint, ní mar chéim ghnáthaimh. Sula ndúnfaidh tú an teirminéal, caithfidh ceithre rud a bheith fíor: ainmníonn riail an phiara seoladh amháin go beacht, tá eisceacht ainmnithe ag DNS, tháinig an cumasaú i ndiaidh na gceadanna, agus maraíonn tarraingt an tolláin gnáththrácht gan an cliant a mharú go deo.