Sabuwar dokar UFW, tsohuwar haɗi: yanayin da aka kafa ya yi nasara

Ƙara dokar hani da kallon wata buɗaɗɗiyar zazzagewa tana ci gaba ba kuskure ba ne a UFW. Dokar da ka ƙara tana bayan dokokin da suka riga suka karɓi wannan kwarara, kuma haɗin da aka kafa a baya yana ci gaba da dacewa da su. Gyara hakan yana nufin saka shi a wurin da ya dace da fahimtar abin da dokokin farko suka yi alkawari. Ƙunƙuntaccen sigar wannan canji shi ne mai zuwa.

Tsari ne ke yanke hukunci, ba wanzuwar dokar ba

UFW wata fuska ce da ke rubuta dokokin netfilter a matakai: sashen tsarin da ke gudana kafin dokokin mai amfani, sannan dokokin mai amfani kansu, sannan sashe da ke gudana bayansu. Dokokin farko na asali suna karɓar zirga-zirgar haɗe-haɗen da aka kafa da masu alaƙa, kuma ana kimanta waɗannan dokokin kafin duk abin da ka ƙara da allow ko deny na yau da kullum. Bayanin umarnin UFW yana rubuta tsarin saka da kuma duban matsayi mai lamba wanda wannan canji ya dogara da shi.

Wannan tsari yana bayyana mamakin. Sabuwar dokarka ta gaske ce kuma tana cikin teburin da ya dace, amma ba ita ce shawarar farko da fakitin ya fuskanta ba. Haɗin da aka riga aka bi a matsayin wanda aka kafa ba ya taɓa isa gare ta.

Yi amfani da dokokin route don wannan aiki, domin ana tura fakitin ta hanyar ƙofar shiga maimakon a nufa shi da ayyukan ƙofar da kanta. Dokar shigarwa za ta tace zirga-zirgar da ba daidai ba kuma ta yi kama da ba ta yin komai.

Saka shi sama da babban izini

Duba sakin kafin ka aiwatar da shi, kuma tabbatar cewa dokar ba ta riga ta kasance wani wuri a cikin jerin ba. Kwafin manufa iri ɗaya yana sa cirewa daga baya ta zama marar tabbas, kuma wanda ya cire kwafin da ba daidai ba ba zai lura ba har tsawon makonni.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Idan duban ya nuna daidai doka ɗaya a wurin da kake tsammani, yi amfani da umarni ɗaya ba tare da tutar dry-run ba. Matsayi 1 yana saka ta sama da manyan izinin mai amfani, ba sama da dokokin tsarin da aka tattauna a baya ba. Tabbatar cewa sunan mu'amala ya dace da na'urar rami a wannan ƙofar, domin dokar da aka iyakance ga mu'amalar da ba ta wanzu kuma za ta tsaya a cikin jerin tana kama da daidai yayin da ba ta dace da komai. Canza maganar na'urar kafin ka aiwatar, ba bayan gwajin ya kasa ba.

Babu tashar nufi a cikin wannan dokar, don haka tana hana kowace tashar TCP a wannan adireshin maimakon HTTPS kawai. Idan manufar ita ce sabis ɗaya, ambaci tashar; dokar da ta fi manufa faɗi lamari ne na gaba da ke jiran mai karatunta na farko.

Iyakance tushen zuwa adireshi ɗaya kawai idan an ɗaure wannan adireshin ga asalin da ake nufi. Tafkin VPN mai rarraba mai motsi zai iya ba da adireshin ɗaya ga wani abokin ciniki gobe, kuma hani zai bi adireshin maimakon mutumin.

Kwararar da aka kafa tana tsira daga sabuwar dokar

Bin diddigin haɗi shi ne dalilin da yasa zaman da ke akwai yake ci gaba. Da zarar an rubuta kwarara a matsayin wadda aka kafa, dokokin farko suna karɓar fakite ɗinta kafin a tuntuɓi haninka, kuma jigilar ta ƙare kamar babu abin da ya canza. Don haka gwadawa da burauza da ke sake amfani da buɗaɗɗiyar haɗi ba ta gaya maka komai game da sabuwar manufar ba. Hani na iya zama marar amfani mintuna bayan turawa kuma ya kasance mai tasiri sosai ga mai amfani na gaba da ya haɗa.

Idan abin da ake buƙata ya haɗa da yanke zirga-zirga kai tsaye, wannan canjin dokar mai amfani ba zai iya bayar da shi ba. Soke yanayin da aka bi wani aiki ne daban da nasa tasirin, kuma na mai firewall ne ba na wanda ya ƙara dokar ba. Wanke kowace haɗi a ƙofa don zaman ɗaya ya ɓace irin gyaran ne da ke haifar da lamari na biyu.

Ka tuna da iyakoki kuma. Wannan dokar ba ta ce komai game da ICMP, UDP ko IPv6 ba, don haka ping mai nasara ba hujja ba ce cewa hani ya kasa. Adireshin IPv4 ɗaya kuma ba gidan yanar gizo ba ne: suna na iya warwarewa zuwa adireshi da yawa, kuma ana rufe wanda ka ambata kawai.

Gwada da sabuwar kwarara

Karanta dokokin mai amfani masu lamba da ainihin duban danye, sannan buɗe sabuwar haɗi daga abokin cinikin da aka zaɓa:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Duban danye yana da mahimmanci domin status yana barin dokokin tsarin da aka rubuta da hannu, don haka zai iya sa tsari ya bambanta da abin da kernel ke tilastawa. Kwatanta duka biyu kafin ka yanke shawarar cewa doka tana wurin da bai dace ba.

Sannan duba sarrafawa biyu da ke tabbatar da cewa dokar takaitacciya ce ba faffaɗa ba: wurin da aka yarda daga abokin ciniki ɗaya yana aiki har yanzu, kuma abokin ciniki na biyu yana isa wurin da aka hana har yanzu idan manufarsa ta yarda. Hani da ya karya duka gwaje-gwajen canjin manufa ne, ba mataki da aka yi niyya ba.

Idan gwajin ya ƙare, cire dokar da ka ƙara kawai, ta hanyar maimaita ta daidai. Idan manufar ta dindana, mika ta ga mai firewall tare da asalin abokin ciniki, mai wurin da aka nufa da ranar bita, don kada adireshin rami da aka sake rabawa ya bar tsohon hani a baya.