નવો UFW નિયમ, જૂનું કનેક્શન: સ્થાપિત સ્થિતિ જીતે છે

નકાર નિયમ ઉમેરવો અને ખુલ્લું ડાઉનલોડ ચાલુ રહેતું જોવું એ UFW ની ભૂલ નથી. તમે ઉમેરેલો નિયમ એ નિયમો પછી આવે છે જેમણે પહેલેથી જ આ ફ્લો સ્વીકાર્યો છે, અને અગાઉ સ્થાપિત થયેલું કનેક્શન તેમની સાથે મેળ ખાતું રહે છે. આ સુધારવા માટે યોગ્ય સ્થાને દાખલ કરવું અને પહેલાના નિયમો શું વચન આપે છે તે સમજવું પડે. તે ફેરફારનું સાંકડું સ્વરૂપ નીચે છે.

નિયમનું અસ્તિત્વ નહીં, ક્રમ નક્કી કરે છે

UFW એ આગળનો ભાગ છે જે netfilter નિયમોને તબક્કામાં લખે છે: વપરાશકર્તાના નિયમો પહેલાં ચાલતો ફ્રેમવર્ક વિભાગ, પછી વપરાશકર્તાના નિયમો પોતે, પછી તેમની પછી ચાલતો વિભાગ. સ્ટોક પહેલાના નિયમો સ્થાપિત અને સંબંધિત કનેક્શનોનો ટ્રાફિક સ્વીકારે છે, અને તે નિયમો તમે સામાન્ય allow કે deny વડે ઉમેરો તે પહેલાં મૂલ્યાંકન થાય છે. UFW આદેશ સંદર્ભ દાખલ કરવાની રીત અને આ ફેરફાર જેના પર આધાર રાખે છે તે ક્રમાંકિત સ્થિતિ દૃશ્યનું દસ્તાવેજીકરણ કરે છે.

એ ક્રમ જ આશ્ચર્ય સમજાવે છે. તમારો નવો નિયમ વાસ્તવિક છે અને તે યોગ્ય ટેબલમાં છે, પણ તે પેકેટ સામે આવતો પહેલો નિર્ણય નથી. જે કનેક્શન પહેલેથી સ્થાપિત તરીકે ટ્રેક થાય છે તે ક્યારેય ત્યાં પહોંચતું નથી.

આ કામ માટે route નિયમો વાપરો, કારણ કે પેકેટ ગેટવેની પોતાની સેવાઓને સંબોધિત થવાને બદલે ગેટવેમાંથી ફોરવર્ડ થાય છે. ઇનપુટ નિયમ ખોટા ટ્રાફિકને ફિલ્ટર કરતો અને કંઈ ન કરતો દેખાતો.

વિશાળ પરવાનગીની ઉપર દાખલ કરો

લાગુ કરતાં પહેલાં દાખલ કરવાનું પૂર્વદર્શન કરો અને ખાતરી કરો કે નિયમ યાદીમાં બીજે ક્યાંય પહેલેથી નથી. સમાન નીતિની નકલ કરવી પછીના દૂર કરવાને અસ્પષ્ટ બનાવે છે, અને ખોટી નકલ દૂર કરનારને અઠવાડિયાં સુધી ખબર પડતી નથી.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

જો પૂર્વદર્શનમાં તમે અપેક્ષા રાખો છો તે સ્થાન પર બરાબર એક જ નિયમ દેખાય, તો dry-run ફ્લેગ વગર એ જ આદેશ લાગુ કરો. સ્થાન 1 તેને વિશાળ વપરાશકર્તા પરવાનગીઓની ઉપર મૂકે છે, અગાઉ ચર્ચાયેલા ફ્રેમવર્ક નિયમોની ઉપર નહીં. ખાતરી કરો કે ઇન્ટરફેસનું નામ આ ગેટવે પરના ટનલ ઉપકરણ સાથે મેળ ખાય છે, કારણ કે હવે ન હોય તેવા ઇન્ટરફેસ સાથે જોડાયેલો નિયમ યાદીમાં બરાબર દેખાશે પણ કંઈ સાથે મેળ નહીં ખાય. લાગુ કરતાં પહેલાં ઉપકરણનો સંદર્ભ બદલો, પરીક્ષણ નિષ્ફળ ગયા પછી નહીં.

તે નિયમમાં કોઈ ગંતવ્ય પોર્ટ નથી, તેથી તે ફક્ત HTTPS જ નહીં પણ તે સરનામાં પરના દરેક TCP પોર્ટને નકારે છે. જો હેતુ એક જ સેવા હોય તો પોર્ટનું નામ આપો; નીતિ કરતાં વિશાળ નિયમ તેના પ્રથમ વાચકની રાહ જોતી ભાવિ ઘટના છે.

સ્રોતને એક જ સરનામા સુધી મર્યાદિત કરો જો તે સરનામું ઇચ્છિત ઓળખ સાથે બંધાયેલું હોય. ગતિશીલ ફાળવણીવાળો VPN પૂલ આવતીકાલે એ જ સરનામું બીજા ક્લાયન્ટને આપી શકે છે, અને નકાર વ્યક્તિને બદલે સરનામાને અનુસરશે.

સ્થાપિત ફ્લો નવા નિયમ પછી પણ ટકે છે

કનેક્શન ટ્રેકિંગ એ હાલનું સેશન ચાલુ રહેવાનું કારણ છે. ફ્લો સ્થાપિત તરીકે નોંધાયા પછી, પહેલાના નિયમો તમારા નકારને જોવાના પહેલાં જ તેના પેકેટ સ્વીકારે છે, અને ટ્રાન્સફર કંઈ બદલાયું ન હોય તેમ પૂરો થાય છે. તેથી ખુલ્લું કનેક્શન ફરી વાપરતા બ્રાઉઝર સાથે પરીક્ષણ નવી નીતિ વિશે કંઈ કહેતું નથી. નકાર જમાવટાના થોડા મિનિટ પછી નકામો લાગે અને આગલા જોડાનારા વપરાશકર્તા માટે સંપૂર્ણ અસરકારક હોઈ શકે.

જો આવશ્યકતામાં ચાલુ ટ્રાફિક કાપવાનો સમાવેશ થાય, તો આ વપરાશકર્તા-નિયમ ફેરફાર તે આપી શકતું નથી. ટ્રેક કરેલી સ્થિતિ રદ કરવી એ પોતાના અસરક્ષેત્ર સાથેની અલગ ક્રિયા છે, અને તે નિયમ ઉમેરનારની નહીં પણ ફાયરવોલ માલિકની છે. એક સેશન અદૃશ્ય કરવા ગેટવે પરના દરેક કનેક્શન ખાલી કરવા એ એવો સુધારો છે જે બીજી ઘટના ઉભી કરે છે.

મર્યાદાઓ પણ યાદ રાખો. આ નિયમ ICMP, UDP કે IPv6 વિશે કંઈ કહેતો નથી, તેથી સફળ ping એ નકાર નિષ્ફળ ગયાનો પુરાવો નથી. એક IPv4 સરનામું પણ વેબસાઇટ નથી: નામ ઘણા સરનામાંઓમાં ઉકેલાઈ શકે છે, અને તમે નામ આપ્યું તે જ આવરી લેવાય છે.

નવા ફ્લો સાથે પરીક્ષણ કરો

ક્રમાંકિત વપરાશકર્તા નિયમો અને અસરકારક કાચું દૃશ્ય વાંચો, પછી પસંદ કરેલા ક્લાયન્ટમાંથી નવું કનેક્શન ખોલો:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

કાચું દૃશ્ય મહત્વનું છે કારણ કે status હાથે લખાયેલા ફ્રેમવર્ક નિયમો છોડી દે છે, તેથી તે ક્રમને કર્નલ લાગુ કરે છે તેનાથી અલગ દેખાડી શકે. નિયમ ખોટી જગ્યાએ છે તેવા નિષ્કર્ષ પર આવતાં પહેલાં બંનેની તુલના કરો.

પછી બે નિયંત્રણો તપાસો જે સાબિત કરે છે કે નિયમ સાંકડો છે, વિશાળ નહીં: એ જ ક્લાયન્ટથી મંજૂર ગંતવ્ય હજી કામ કરે છે, અને બીજો ક્લાયન્ટ હજી નકારેલા ગંતવ્ય સુધી પહોંચે છે જો તેની નીતિ પરવાનગી આપે. જે નકાર બંને પરીક્ષણ તોડે તે નીતિ પરિવર્તન છે, લક્ષિત પગલું નહીં.

પરીક્ષણ પૂરું થયા પછી ફક્ત તમે ઉમેરેલો નિયમ દૂર કરો, તેને બરાબર ફરી લખીને. જો નીતિ કાયમી હોય તો ક્લાયન્ટ ઓળખ, ગંતવ્યનો માલિક અને સમીક્ષા તારીખ સાથે તે ફાયરવોલ માલિકને સોંપો, જેથી ફરી ફાળવેલું ટનલ સરનામું જૂનો નકાર પાછળ ન છોડે.