Firewall Linux distribucije može blokirati vaš VPN promet

Tunel se digne, zapisnik kaže da je veza uspostavljena, a jedna aplikacija ipak ne može doći ni do čega. Na Linux klijentu to obično znači da firewall distribucije filtrira put koji VPN klijent nikada nije upravljao. Dva upravitelja mogu biti aktivna istovremeno, svaki sa svojim predodžbama o sučelju, zoni i smjeru prometa. Utvrđivanje vlasnika prije bilo kakvog uređivanja brže je od isprobavanja pravila dok nešto ne proradi.

Pronađite upravitelja i pozadinski sustav

Počnite s onim što je stvarno učitano, a ne s onim što je instalirano. Distribucija može isporučiti firewalld, ufw i običnu nftables uslugu, a samo jedna od njih posjeduje aktivni skup pravila. Paketi mirno koegzistiraju, a pravilo uneseno kroz pogrešno prednje sučelje nikada ne stigne do jezgre. Pročitajte aktivnu uslugu, zatim pročitajte skup pravila koji je proizvela.

Pozadinski sustav jednako je važan kao i prednji. Instalacija firewalld može pokretati nftables ili stari iptables pozadinski sustav, ovisno o verziji i konfiguraciji, a oba daju različit izlaz pregleda. Zapišite distribuciju, verziju i pozadinski sustav u tiket prije nego svoj sustav usporedite s bilo kojim vodičem.

Uskladite smjer i sučelje

Odlazni zahtjev klijenta, dolazni slušatelj i proslijeđeni paket prolaze kroz različite kuke, a pravilo za jednu ne pokriva ostale. Zona koja dopušta lokalnu LAN mrežu često ne uključuje tunelsko sučelje ni adresni fond VPN-a. Tunelsko sučelje obično završi u zadanoj zoni, koja je često stroža od zone u kojoj se nalazi fizički adapter. Taj nesklad objašnjava zašto pregledavanje radi na LAN mreži i staje u trenutku kad se tunel digne.

Pitajte koji je smjer zakazao prije odabira pravila. Aplikaciji koja se ne može spojiti prema van treba izlazni put, dok dolaznoj usluzi treba ulazni put na tunelskom sučelju. Dodavanje pravila u pogrešan lanac stvara promjenu koja izgleda primijenjeno i ne čini baš ništa.

Držite vlasnike pravila u slozi

Kuka VPN klijenta, okruženje za kontejnere i usluga distribucije mogu svi mijenjati mrežu, i oni se međusobno ne usklađuju. Ručno unesena pravila nestaju pri sljedećem ponovnom učitavanju, a pravila ubačena u lanac upravitelja mogu se vrednovati redoslijedom koji niste namjeravali. Koristite trajnu konfiguraciju upravitelja i pregledajte dobiveni skup pravila umjesto datoteke koju ste napisali. Isključivanje cijelog firewalla jer je jedna usluga nedostupna mijenja mali problem za veliki.

Uska brojila jeftin su način da pronađete odbijeni tok. Pravilo zapisivanja ograničeno na jedno odredište i jedan port pokazuje događa li se odbacivanje lokalno, bez hvatanja tuđeg prometa. Uklonite pravilo zapisivanja kad istraga završi, jer je ono dijagnostika, a ne politika, i dokumentacija firewalld o zonama objašnjava kako se sučelja i usluge kombiniraju.

Provjerite popravak bez gubitka zaključavanja

Pregledajte primijenjeno stanje upraviteljem koji ga posjeduje, koristeći naredbe koje odgovaraju zabilježenom pozadinskom sustavu. Popis u nastavku pretpostavlja da je firewalld zadužen; zamijenite ga ekvivalentom za nftables ili ufw umjesto da pokrećete sve. Miješanje alata u jednoj sesiji način je na koji računalo završi s dva sukobljena skupa pravila.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Prva naredba imenuje zone i sučelja koja su im dodijeljena, što pokazuje gdje je tunel stvarno završio. Druga ispisuje pravila i usluge zone, pa vidite je li VPN sučelje uopće pokriveno. Popis nftables osnovna je istina za pozadinski sustav u upotrebi, a pravilo koje postoji samo u konfiguracijskoj datoteci tamo se ne pojavljuje. Usporedite tri izlaza s pravilom koje ste dodali, i nesklad obično sam sebe imenuje.

Zatim ponovite izvorni zahtjev i ponašanje kvara koje zahtijevate. Novo proradila stranica nije dovoljna ako je ista promjena uklonila klijentovo zaključavanje, pa testirajte i nezaštićeni put. Zabilježite upravitelja, pozadinski sustav, sučelje i svrhu pravila, jer će nadogradnja paketa koja oživi drugog upravitelja inače ponovno izgraditi cijeli nered.