Caitheann UFW freastalaí DNS an VPN nuair a bhíonn an tollán suas
Clúdaíonn polasaí diúltaithe réamhshocraithe UFW comhéadan an tolláin freisin. Sórtáil an trácht de réir treo, lig don réiteoir brúite ar tun0, agus ansin oscail an cosán seachtrach.
Stopann ainmneacha ag réiteach an nóiméad a nascann an VPN, cé go bhfreagraíonn ping chuig seoladh poiblí fós agus nach dtaispeánann stádas an bhalla dhóite aon rud atá cearr. Níor athraigh aon rud sa pholasaí; an rud a d'athraigh ná gur tháinig comhéadan nua chun solais, agus clúdaíonn an diúltú réamhshocraithe é ón gcéad phacáid. Cinneann UFW de réir treo agus comhéadain, mar sin ní deir riail a scríobhadh don nasc gan sreang aon rud faoin trácht a fhágann an tollán. Is é an deisiú ná dornán rialacha cúnga a chuirtear i bhfeidhm in ord áirithe.
Ní thagann an tsiomptóm chun solais ach amháin nuair a bhíonn an tollán suas
Déanann polasaí diúltaithe réamhshocraithe go díreach an rud a dúradh leis: diúltaítear do gach rud gan riail mheaitseála, ar gach comhéadan atá ann. Ní raibh an tollán ann nuair a scríobhadh na rialacha, mar sin ní féidir le haon cheann acu é a ghabháil, agus baineann an diúltú a bhí ann i gcónaí anois le réiteach ainmneacha. Is féidir le trácht díreach chuig seoladh litriúil fós oibriú nuair a chlúdaíonn cead níos leithne é, agus is é sin an fáth a n-éiríonn le ping chuig réiteoir poiblí agus a dteipeann ar chuardach ainm. Is é an bhearna riail do chomhéadan nach bhfaca an polasaí riamh.
Míníonn sé sin freisin cén fáth a n-iompaíonn an teip go glan: bain an tollán agus réitíonn na hainmneacha arís, mar filleann an cheist ar chomhéadan a bhfuil rialacha aige. Ní fadhb DNS é polasaí nach dteipeann ach amháin agus an tollán suas, agus cuireann sé isteach is amach ar an réiteoir féin an t-am is mó a chailleann anseo. Léigh liosta na gcomhéadan sula léann tú cumraíocht an réiteora.
Trí threo, trí shraith rialacha éagsúla
Buaileann seisiún amháin le rialacha i níos mó ná treo amháin, agus cuireann tollán dara comhéadan le beagnach gach ceann acu. Déanann sórtáil an tráchta de réir treo agus comhéadain ar dtús an chuid eile a dhéanamh meicniúil, mar teastaíonn a riail féin ina háit féin ó gach ró thíos. Úsáideann na samplaí tun0 agus linn de 10.8.0.0/24, mar sin cuir ainmneacha agus raonta as aschur an chliaint féin ina n-ionad.
| Direction | Example packet | Rule that admits it | Written on |
|---|---|---|---|
| Client to the pushed resolver | A DNS query to 10.8.0.1 | Destination port 53 over the tunnel | The client's tun0 |
| Client to the VPN server | A handshake to the server's public address | Server address and port on the physical link | The client's physical interface |
| Server to a service | SSH from the pool to port 22 | Source pool, destination port, tunnel interface | The server's tun0 |
| Anyone to the listener | The VPN listener itself | 1194/udp on the public side | The server's public interface |
Cuirtear dhá ró ar strae go minic mar luann an dá cheann an tollán. Ligeann riail don réiteoir an trácht a sheolann an cliant isteach sa tollán, agus ligeann riail do SSH an trácht a fhaigheann an freastalaí uaidh; maireann siad ar mheaisíní éagsúla agus teipeann orthu go neamhspleách. Is í an ró is mó a ndéantar dearmad uirthi an dara ceann, mar ní féidir leis an gcliant an tollán a bhunú ar chor ar bith go dtí go gceadaítear a thrácht chuig seoladh poiblí an fhreastalaí. Oibrigh ó bharr go bun agus tá cúis amháin is dócha ag gach teip.
Teastaíonn a riail féin ó réiteoir a bhrúitear
Braitheann sé ar an bhfreastalaí cé acu a iompraíonn an tollán DNS. Suiteálann freastalaí a bhrúnn rogha réiteora seoladh príobháideach i gcumraíocht an chliaint, agus ní féidir an seoladh sin a ródú ach tríd an tollán. Mura mbrúnn an freastalaí aon rud, coimeádann an cliant an réiteoir a bhí aige cheana agus níl aon rud ag na rialacha thíos le ceadú. Seiceáil an staid a brúdh agus toradh reatha na ceiste sula scríobhann tú aon rud:
dig +short @10.8.0.1 example.com
resolvectl status tun0
sudo ufw status numberedAinmníonn aschur an stádais an réiteoir atá in úsáid agus an nasc a bhfuil sé ceangailte de, agus taispeánann an chuardach róid taobh thiar de cén comhéadan a iompródh ceist chuig an seoladh sin. Nuair a shuíonn an réiteoir ar nasc eile, tá an fhadhb níos luaithe ná an balla dóite agus ní chabhróidh aon riail. Nuair a aontaíonn an dá rud faoin tollán, teastaíonn dhá riail, mar iompraíonn UDP an chuid is mó de na ceisteanna agus glacann TCP seilbh nuair a ghearrtar freagra. Taifead an dá luach, mar is iad sin na cinn a ainmneoidh na rialacha:
sudo ufw allow out on tun0 to 10.8.0.1 port 53 proto udp comment 'pushed resolver'
sudo ufw allow out on tun0 to 10.8.0.1 port 53 proto tcp comment 'truncated answers'Oscail an cosán seachtrach roimh an gceann inmheánach
Caithfidh an cliant seoladh poiblí an fhreastalaí a shroicheadh sula mbeidh tollán ann, mar sin suíonn an riail dó ar an nasc fisiceach agus caithfidh sí a bheith ina háit ar dtús. Fágann polasaí a ligeann don réiteoir ach a dhéanann dearmad ar an bhfreastalaí an cliant go hiomlán ar a chumas an tollán a thógáil, agus cuirtear an tsiomptóm sin i leith kill switch de ghnáth. Ansin lig do na seirbhísí a bhí uait i ndáiríre tríd an tollán, riail chúng amháin ag an am, in ionad an comhéadan a oscailt go hiomlán. Is iad na rialacha cúnga an chúis a bhféadann an diúltú fanacht ina áit.
sudo ufw allow out to 198.51.100.10 port 1194 proto udp comment 'vpn server'
sudo ufw allow out on tun0 to any port 443 proto tcp comment 'web through tunnel'Tá tábhacht leis an ord agus tú ag tástáil, mar is í an chéad riail a ligeann don tollán teacht suas ar chor ar bith. Cuir leis í, ceangail, agus deimhnigh go bhfuil an tollán suas sula gcuireann tú riail na seirbhíse leis, mar má dhéanann tú an dá rud le chéile ní insíonn teip duit aon rud faoi cé acu leath atá mícheart. Cuir an pointe deiridh a bhfuil an cliant cumraithe dó in ionad an tseoladh doiciméadaithe thuas.
Críochnaigh taobh an chliaint trí dhícheangal d'aon ghnó. Ba cheart go ndiúltódh an diúltú fós don trácht a d'eisigh tú d'aon ghnó, mar ní chlúdaíonn réiteoir a fhreagraíonn agus an tollán suas ach leath de pholasaí a dhiúltaíonn nuair a bhíonn amhras.
Níl cliant a nascann ionadaithe fós
Tá a threo féin le breithniú ag an bhfreastalaí, agus ní féidir le cliant a chríochnaíonn an chroitheadh láimhe aon rud atá ag rith ar an bhfreastalaí a shroicheadh go dtí go nglacann an freastalaí leis. Ní ligeann riail an éisteora phoiblí don tollán ach a bheith ann; ní ligeann sí trácht an tolláin isteach. Ar an bhfreastalaí is dhá riail é sin móide seiceáil amháin go bhfuil an tseirbhís ag éisteacht i ndáiríre:
sudo ufw allow 1194/udp comment 'openvpn listener'
sudo ufw limit in on tun0 from 10.8.0.0/24 to any port 22 proto tcp comment 'admin over tunnel'
ss -ltn | grep ':22'Caithfidh an linn sa riail a bheith cothrom leis an raon a leithdháileann an freastalaí, agus caithfidh uimhir an tolláin teacht leis an gceann a chruthaigh an freastalaí, mar ní féidir riail do chomhéadan eile a idirdhealú ó aon riail. Tá limit d'aon ghnó do phort riaracháin, mar cuireann sé srian le naisc athchleachtacha in ionad iad a ligean isteach gan teorainn. Deighleann seiceáil an éisteora port dúnta ó phacáid a caitheadh amach, a bhíonn cosúil le chéile ón gcliant. Ní hé na rialacha uimhrithe an pictiúr iomlán ach an oiread: meaitseálann rialacha before UFW agus aon líne nftables scríofa de láimh níos luaithe agus is féidir leo fós pacáid a dhiúltú a bhfuil an liosta le feiceáil ag ceadú.