ufw allow 443 bai yi wa sabis ɗin da ke bayan VPN komai ba

Ping yana yin nasara daga abokin ciniki na VPN, sabis ɗin TCP ya ƙare lokaci, kuma ufw allow 443/tcp ba ya canza komai. Lokacin da aikace-aikacen ke gudana a kan uwar garke bayan ƙofar shiga maimakon a kan ƙofar shiga kanta, an rubuta wannan izini don hanyar zirga-zirgar da ba daidai ba. Ba a aika fakitin zuwa wutar bango ba kuma ba a isar da shi ga wani tsari na gida ba, don haka ƙa'idodin shigowa ba sa ganinsa. Maganin shine ƙa'idar hanya da ke nufin kwararar da ake turawa, kuma shaidar hakan tana cikin rajistan tuni.

Yanke shawara ko wurin da aka nufa na gida ne ko ana turawa

Karanta fakitin kamar yadda kernel ɗin ke ganinsa. Zirga-zirgar da ake isarwa ga sabis a kan ƙofar shiga na shigowa ne na gida. Zirga-zirgar da ƙofar shiga ke turawa zuwa wata uwar garke ana turawa ne, kuma UFW yana riƙe da jerin ƙa'idoji daban don hanyoyin biyu. Bambancin ana yanke shi ne da adireshin wurin da aka nufa da binciken hanya, ba da mashigar da fakitin ya iso ba.

Layin rajista da ke nuna mashigar ɗaya a cikin filayen IN da OUT na iya kwatanta fakitin da aka yi masa hanya, domin rami da ke ɗaukar abokan ciniki ciki da waje a na'ura ɗaya yana kama da haka daidai. Adireshin wurin da aka nufa yana warware tambayar da sauri fiye da sunayen mashigai. Ganin suna ɗaya sau biyu ba ya tabbatar da isar da gida, kuma ƙirƙirar mashigar rami da turawar ba ta taɓa yin ta ba ya taimaka ma.

Karanta toshewar kafin ƙara kowace ƙa'ida

Sake yin ƙoƙarin haɗi guda ɗaya da aka ba da izini ka kama tushensa, inda aka nufa, ka'idar sa da tashar da aka nufa kamar yadda ƙofar shiga ta rubuta su. Kwatanta waɗannan ƙima huɗu da shigarwar rajista da kuma wurin sabis ɗin na gaske. Ping da ya yi nasara a baya yana tabbatar da cewa an ba da izinin musayar tasa ne kawai, kuma wutar bango na iya ɗaukar TCP SYN zuwa aikace-aikace daban.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Umarni na farko yana mayar da hukunci tare da filayensa, na biyu kuma yana nuna abin da aka riga aka loda da kuma wace oda. Karanta duka biyu kafin ka gyara wani abu, domin toshewar da ta gabata a saman ƙa'idarka tana bayyana irin wannan alama ba tare da wata ƙa'ida da ta ɓace ba.

Rubuta mafi ƙunci ƙa'idar hanya da ta dace

A wannan misalin abokan ciniki suna zuwa a kan tun0 daga 172.20.8.0/24, sabis ɗin yana saurare a kan 10.30.0.15 a tashar 8443, kuma ƙofar shiga tana fita ta ens5. An zaɓi waɗannan ƙima don kada su yi kama da tsoho na VPC na girgije na 10.0.0.0/16 ko na gida na 192.168.0.0/16, kuma 8443 yana nisantar da misalin daga mai sauraren 443 na ƙofar shiga kanta.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Gwajin bushewa yana buga jerin ƙa'idodin da zai haifar, wanda shine hanya mafi arha don ganin ko ƙa'idarka ta faɗi kafin wani toshewar da ke akwai ko bayansa. Tabbatar da sunayen mashigai da adiresoshin ciki a kan turawar ba a kan misalin ba, kuma ka tuna idan NAT na inda aka nufa ya fara gudana, matatar na ganin inda aka nufa da aka fassara.

Riƙe hanyar dawowa da yanayi

UFW yana bin diddigin haɗin da aka ba da izini, don haka ana karɓar amsoshin kwarara mai turawa da aka ba da izini ba tare da ƙa'idar juyawa bayyananna ba. Ƙara ƙa'ida marar iyaka a wata hanya don abubuwa su yi aiki yana faɗaɗa manufar fiye da sabis ɗin guda ɗaya kuma ba a buƙatarta don musayar roƙo da amsa ta al'ada. Riƙe hanyar dawowa a fakaice kuma jerin ƙa'idoji cikin sauƙin karantawa.

Yi amfani da ƙa'idar ne kawai bayan gwajin bushewa ya dace da niyyarka, sannan tabbatar da cewa jerin da aka tsara yana nuna ta a wurin da ake tsammani. Riƙe mai sauraren VPN da ƙa'idodin gudanarwa a matsayin al'amura daban, domin canza su yanke shawara ne daban da barin aikace-aikace ɗaya. Rubuta canjin a inda aka rubuta yanayin cibiyar sadarwar, don kada injiniya na gaba ya sake gano shi daga hoton fakiti.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Duba abin da UFW ba zai iya tilastawa a madinka ba

Daidaitaccen ƙa'ida har yanzu yana buƙatar turawa a cikin kernel da hanyar da za ta isa sabis ɗin. Tabbatar da duka biyu kafin ka zargi wutar bango a karo na biyu.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Sannan duba waje da uwar garke. A kan na'urar girgije manufar UFW ta baƙo ba ta maye gurbin ƙungiyoyin tsaro, ACL na ƙaramin cibiya ko tsarin turawa na mai bayarwa, don haka toshewar gida shaida ce game da mataki ɗaya ba tabbacin cewa kowane mataki yana barin sabis ɗin ba.

Kammala da gwada sabon haɗi tare da wutar bango a kunne, daga tushen da aka ba da izini da kuma wanda ba shi da alaƙa. Kashe UFW yana cire alamar kuma yana lalata shaidar a cikin umarni ɗaya, wanda shine dalilin da ya kamata ya kasance gwaji na ƙarshe ba na farko ba.