Linux տարածման firewall-ը կարող է արգելափակել ձեր VPN երթևեկությունը

Թունելը բարձրանում է, մատյանն ասում է միացված, և մեկ ծրագիր դեռ ոչնչի չի հասնում։ Linux հաճախորդի վրա դա սովորաբար նշանակում է, որ տարածման firewall-ը զտում է մի ուղի, որը VPN հաճախորդը երբեք չի կառավարել։ Երկու կառավարիչ կարող են ակտիվ լինել միաժամանակ, յուրաքանչյուրն իր պատկերացումն ունի ինտերֆեյսի, գոտու և երթևեկության ուղղության մասին։ Սեփականատիրոջը բացահայտելը նախքան որևէ բան խմբագրելը ավելի արագ է, քան կանոններ փորձելը, մինչև ինչ-որ բան աշխատի։

Գտեք կառավարիչը և backend-ը

Սկսեք նրանից, ինչ իրականում բեռնված է, ոչ թե նրանից, ինչ տեղադրված է։ Տարածումը կարող է տրամադրել firewalld, ufw և սովորական nftables ծառայություն, և դրանցից միայն մեկն է տիրապետում գործող կանոնների հավաքածուին։ Փաթեթները խաղաղ գոյակցում են, և սխալ ճակատից մուտքագրված կանոնը երբեք չի հասնում միջուկին։ Կարդացեք ակտիվ ծառայությունը, ապա կարդացեք այն կանոնների հավաքածուն, որը նա ստեղծել է։

Backend-ը նույնքան կարևոր է, որքան ճակատը։ firewalld-ի տեղադրումը կարող է կառավարել nftables կամ հին iptables backend-ը՝ կախված տարբերակից և կարգավորումից, և երկուսը տալիս են տարբեր ստուգման արդյունք։ Գրեք տարածումը, տարբերակը և backend-ը տոմսի մեջ նախքան ձեր համակարգը որևէ ուղեցույցի հետ համեմատելը։

Համապատասխանեցրեք ուղղությունը և ինտերֆեյսը

Ելքային հաճախորդի հարցումը, մուտքային լսողը և փոխանցվող փաթեթը անցնում են տարբեր կեռիկներով, և մեկի համար կանոնը չի ծածկում մյուսներին։ Տեղական LAN-ը թույլատրող գոտին հաճախ չի ներառում թունելի ինտերֆեյսը կամ VPN-ի հասցեների լողավազանը։ Թունելի ինտերֆեյսը սովորաբար վայրէջք է կատարում լռելյայն գոտում, որը հաճախ ավելի խիստ է, քան ֆիզիկական ադապտերի գոտին։ Այդ անհամապատասխանությունը բացատրում է, թե ինչու է զննարկումը աշխատում LAN-ում և դադարում թունելի բարձրանալու պահին։

Հարցրեք, թե որ ուղղությունն է ձախողվել նախքան կանոն ընտրելը։ Դուրս միանալ չկարողացող ծրագրին անհրաժեշտ է ելքային ուղին, մինչդեռ մուտքային ծառայությանը անհրաժեշտ է մուտքային ուղին թունելի ինտերֆեյսի վրա։ Սխալ շղթային կանոն ավելացնելը ստեղծում է փոփոխություն, որը կարծես կիրառված է և ընդհանրապես ոչինչ չի անում։

Պահեք կանոնների տերերին համաձայնության մեջ

VPN հաճախորդի կեռիկը, կոնտեյներների գործարկման միջավայրը և տարածման ծառայությունը կարող են բոլորը փոխել ցանցը, և նրանք միմյանց հետ չեն համակարգում։ Ձեռքով մուտքագրված կանոնները անհետանում են հաջորդ վերաբեռնման ժամանակ, և կառավարչի շղթայի մեջ մտցված կանոնները կարող են գնահատվել ձեր չնախատեսած հերթականությամբ։ Օգտագործեք կառավարչի մշտական կարգավորումը և ստուգեք ստացված կանոնների հավաքածուն, այլ ոչ թե ձեր գրած ֆայլը։ Ամբողջ firewall-ը անջատելը այն պատճառով, որ մեկ ծառայություն անհասանելի է, փոխում է փոքր խնդիրը մեծով։

Նեղ հաշվիչները մերժված հոսքը գտնելու էժան միջոցն են։ Մեկ նպատակակետով և մեկ պորտով սահմանափակված գրանցման կանոնը ցույց է տալիս՝ արդյոք անկումը տեղի է ունենում տեղում՝ առանց ուրիշի երթևեկությունը որսալու։ Հեռացրեք գրանցման կանոնը, երբ հետազոտությունն ավարտվի, քանի որ այն ախտորոշում է, ոչ քաղաքականություն, և firewalld-ի գոտիների փաստաթղթերը բացատրում են, թե ինչպես են ինտերֆեյսները և ծառայությունները միավորվում։

Ստուգեք ուղղումը՝ չկորցնելով կողպումը

Ստուգեք կիրառված վիճակը նրան տիրապետող կառավարչով՝ օգտագործելով ձեր գրանցած backend-ին համապատասխան հրամաններ։ Ստորև բերված ցանկը ենթադրում է, որ firewalld-ն է պատասխանատու. փոխարինեք nftables-ի կամ ufw-ի համարժեքով՝ բոլորը գործարկելու փոխարեն։ Մեկ նստաշրջանում գործիքները խառնելը հենց այն է, թե ինչպես է մեքենան հայտնվում երկու հակասական կանոնների հավաքածուներով։

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Առաջին հրամանը նշում է գոտիները և նրանց հատկացված ինտերֆեյսները, ինչը ցույց է տալիս, թե որտեղ է թունելն իրականում վայրէջք կատարել։ Երկրորդը տպում է գոտու կանոններն ու ծառայությունները, որպեսզի տեսնեք՝ արդյոք VPN ինտերֆեյսն ընդհանրապես ծածկված է։ nftables ցանկը օգտագործվող backend-ի հիմնարար ճշմարտությունն է, և միայն կարգավորման ֆայլում գոյություն ունեցող կանոնը այնտեղ չի հայտնվում։ Համեմատեք երեք արդյունքները ձեր ավելացրած կանոնի հետ, և անհամապատասխանությունը սովորաբար ինքն իրեն անուն է տալիս։

Այնուհետև կրկնեք սկզբնական հարցումը և ձեր պահանջած ձախողման վարքագիծը։ Նոր աշխատող կայքը բավարար չէ, եթե նույն փոփոխությունը հեռացրել է հաճախորդի կողպումը, այնպես որ փորձարկեք նաև անպաշտպան ուղի։ Գրանցեք կառավարիչը, backend-ը, ինտերֆեյսը և կանոնի նպատակը, որովհետև երկրորդ կառավարիչ վերակենդանացնող փաթեթի թարմացումը հակառակ դեպքում նորից կկառուցի ամբողջ խառնաշփոթը։