Maɓallin kashewar UFW yana toshe VPN ɗinka? Bar abokin ya wuce

Ka bi lissafin dubawa: hana fita, ba da izini ga tunel, kunna ufw. Sannan abokin ciniki yana jira a musafaha kuma ba ya taɓa haɗawa, ko kuma ya haɗa kuma babu shafi da ke lodawa. Dukan gazawar biyun suna fitowa daga rami ɗaya. Dokar da ke barin tunel ya kasance ba ta nan, domin tunel ba wata hanya da fakitocinka suke fita daga gare ta ba.

Me ya sa izini a kan tun0 ba ya dace da kome da farko

Abokin ciniki ne ke ƙirƙirar tun0 bayan wani zama ya kasance. Datagram ɗin da ke gina wannan zama fakiti ne na UDP na yau da kullum da ake aikawa zuwa ga mai bayarwa a tashar 1194, kuma suna fita ta wlan0 ko eth0 da adireshin tushe na zahiri. allow out on tun0 yana dacewa ne kawai da zirga-zirgar da hanyar fita ta tun0 ce, don haka a lokacin musafaha ba ya dace da kome.

Saka default deny outgoing a kai kuma ana jefar da fakitan waje kafin hanyar ta bayyana. Abokin ciniki ya sake gwadawa, lokaci ya ƙare, ya kuma ba da rahoton gazawar TLS ko musafaha, wanda ke tura mutane zuwa bincike cikin takaddun shaida da MTU yayin da katangar wuta ke cin haɗin a hankali. Dokar da aka yi nufin ta tsare zirga-zirgar ka ita ce ke hana wannan zirga-zirgar tsarewa.

Gyaran gaggawa yana sa ɓarkewar ta zama ta dindindin. sudo ufw allow out on wlan0, ko juya tsoho zuwa ba da izini, yana ɗaga tunel kuma ya bar na'urar ba tare da maɓallin kashewa ba: lokaci na gaba da tunel ya faɗi, komai yana ci gaba ta hanyar adaftar zahiri. Na rasa wata rana da misalin wannan gyara biyu kafin in gano wace fakiti nake tacewa.

Abin da ƙungiyoyin fakiti biyu suke buƙata

Zirga-zirgar ka tana tsallaka katangar wuta sau biyu, cikin sifa biyu. Fakitin ciki yana gudana daga adireshin tunel zuwa waje ta tun0. Fakitin waje yana gudana daga adireshin zahiri zuwa ga abokin, kuma shi ne kawai abin da ake gani a waya. Doka ɗaya ga kowace sifa:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Maye gurbin adireshin da tashar da na cikin bayanan ka. Abokan WireGuard yawanci suna amsawa a 51820/udp; bayanan OpenVPN da ke tafiya ta TCP 443 suna buƙatar wannan tashar maimakon. Cikakkun bayanai sun bambanta, sifa ba: dokokin biyu ƙanana ne, kuma tare suna ayyana wuraren da na'urar za ta iya isa yayin da tunel ya faɗi.

Tsari shi ne tatsuniya ta biyu. Da iptables ɗanyen kana karanta sarƙar daga sama zuwa ƙasa kana tunanin wace doka ce ta yi nasara. ufw ba wani ɗan sutura ba ne a kan jerin da ka buga; yana tattara dokokinka cikin sarƙoƙinsa kuma yana zaɓar wuraren shigarwa. ufw status yana buga su cikin tsarin ufw, ba naka ba. Sa'ad da doka ta yi kama da an yi watsi da ita, kwatanta ufw show added da tarin da aka tattara daga iptables -S | grep ufw kafin ka sake rubuta wani abu.

Dole ne keɓancewar ta kasance faɗin adireshi ɗaya

Dokar aboki tana daidai ne kawai yayin da take ambaton adireshin da abokin ciniki ke bugawa. Masu bayarwa suna juya ƙarshen wurare, kuma bayanin da ke warware sunan mai masauki zai bi canjin DNS zuwa sabon adireshi yayin da dokar ke ci gaba da nuna tsohon. Sa'ad da tunel da ya yi aiki tsawon watanni ya daina tashi, kwatanta adireshin da ke cikin dokar da wanda abokin ciniki ke nema kafin ka faɗaɗa wani abu.

Faɗaɗa zuwa dukan cibiyar sadarwa, ko zuwa kowace makoma a tashar 1194, yana mayar da manufar zuwa katangar wuta mai rami. Keɓancewar ita ce maɓallin kashewa; da zarar ya faɗaɗa, babu abin da ya rage da za a kashe. Rike shi a adireshi ɗaya ka bar sharhi da ke ambaton bayanin da mai bayarwa da yake nasa, domin bayan wata shida adireshin zai yi kama da na son rai.

Warware sunaye ya cancanci layinsa. Binciken yana faruwa kafin tunel ya kasance, ta hanyar zahiri, don haka tsauraran manufar hana fita na iya barin abokin ciniki ya kasa samun sabar nasa. Ba da izini ga tashar 53 zuwa adireshin mai warware naka, ko warware sau ɗaya ka danna adireshin a cikin bayanin. Ba da izinin DNS a kowace hanya yanke shawara ne, ba tsoho ba.

Gina manufar kafin a buƙaci tunel

ufw enable yana amfani da dukan manufar lokaci ɗaya kuma yana sake loda sarƙoƙinsa, kuma canza manufar tsoho a kan katangar wuta da ke gudana tana sake loda su. littafin ufw yana gargaɗi cewa wannan na iya jefar da haɗin da ake da su kamar SSH. Don haka umarnin suna tafiya cikin wannan tsari, da dokar SSH kafin kunnawa da zama na console a buɗe:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset an bar shi a wajen wannan rukuni da gangan. Yana share kowace doka kuma yana kashe katangar wuta, kuma a kan mai masauki mai nisa kunnawa na gaba shi ne ke jefar da zamanka. Idan ka sake saitawa, ƙara dokar SSH ka kuma tabbatar da hanya ta biyu ta dawowa ta console kafin ka ci gaba.

Tsarin ba na ado ba ne. Dokokin da aka ƙara yayin da ufw ke gudana ba sa wanke kome, amma a lokacin da ka juya manufar tsoho sai sarƙoƙin su sake lodawa, kuma zama da tsohuwar manufar ta ba da izini yana tafiya tare da su. Yi tsoho, izini da kunnawa a bugu ɗaya, yayin da kake da hanyar shiga da ba ta dogara da na'urar ba.

Gwada yanayin da aka toshe, kuma ka riƙe sokewar

Maɓallin kashewa da ba a gwada ba hasashe ne. Cire abokin ciniki da gangan ka gwada loda shafi: dole ya kasa. Sake haɗawa kuma dole ya dawo ba tare da taɓa doka ba. sudo ufw status verbose yana tabbatar da tsoho da yanayin rubutu, kuma ufw status numbered yana nuna wace dokar gwaji za a share sa'ad da ta wuce manufarta.

Rike rubutun juyawa kusa da na gaba. Na'urar da ke da hana fita da mataccen tunel ba za ta iya sauke nata gyaran ba, don haka sokewar dole ta kasance a faifai kuma a iya karanta ta daga console:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Gudanar da shi sa'ad da tunel ya riga ya faɗi kuma dole a cire dokoki, ba a matsayin mataki na yau da kullum ba. Kafin ka rufe tashar, abubuwa huɗu ya kamata su tabbata: dokar aboki tana ambaton adireshi ɗaya daidai, DNS yana da keɓancewar da aka ambata, kunnawa ya zo bayan izini, kuma ja tunel yana kashe zirga-zirgar yau da kullum ba tare da kashe abokin ciniki har abada ba.