Eldveggur Linux-dreifingar getur lokað á VPN-umferðina þína

Göngin koma upp, annálinn segir tengt, og eitt forrit nær samt ekki neinu. Á Linux-biðlara þýðir það venjulega að eldveggur dreifingarinnar síi slóð sem VPN-biðlarinn stýrði aldrei. Tveir stjórar geta verið virkir á sama tíma, hver með sínar hugmyndir um viðmótið, svæðið og stefnu umferðarinnar. Að greina eigandann áður en nokkru er breytt er fljótlegra en að prófa reglur þar til eitthvað virkar.

Finndu stjórann og bakendann

Byrjaðu á því sem er í raun hlaðið, ekki því sem er uppsett. Dreifing getur flutt firewalld, ufw og venjulega nftables-þjónustu, og aðeins ein þeirra á ríkjandi reglusettið. Pakkarnir lifa friðsamlega saman, og regla sem færð er inn um ranga framhlið nær aldrei kjarnanum. Lestu virku þjónustuna og lestu síðan reglusettið sem hún bjó til.

Bakendinn skiptir jafn miklu máli og framhliðin. Uppsetning firewalld getur keyrt nftables eða gamla iptables-bakendann eftir útgáfu og stillingum, og þeir tveir gefa mismunandi skoðunarútkomu. Skrifaðu dreifinguna, útgáfuna og bakendann í miðann áður en þú berð kerfið þitt saman við hvaða leiðarvísi sem er.

Stilltu stefnuna og viðmótið af

Útbeiðni biðlarans, innkomandi hlustandi og áframsend pakki fara um mismunandi króka, og regla fyrir einn nær ekki yfir hina. Svæði sem leyfir staðbundna LAN inniheldur oft ekki gönguviðmótið eða VPN-vistfangasafnið. Gönguviðmót lendir venjulega í sjálfgefna svæðinu, sem er oft strangara en svæðið þar sem líkamlegi millistykkið er. Þetta misræmi skýrir hvers vegna vafur virkar á LAN og stöðvast um leið og göngin koma upp.

Spyrðu hvaða stefna mistókst áður en þú velur reglu. Forrit sem getur ekki tengst út þarf útleiðina, en innkomandi þjónusta þarf innleiðina á gönguviðmótinu. Að bæta reglu við ranga keðju framleiðir breytingu sem lítur út fyrir að vera beitt og gerir alls ekkert.

Hafðu eigendur reglnanna sammála

Krókur VPN-biðlara, keyrsluumhverfi gáma og þjónusta dreifingarinnar geta öll breytt netinu, og þau samræma sig ekki sín á milli. Reglur sem færðar eru inn með höndunum hverfa við næstu endurhleðslu, og reglur sem eru settar inn í keðju stjórans geta verið metnar í röð sem þú ætlaðir ekki. Notaðu varanlega stillingu stjórans og skoðaðu reglusettið sem verður til í stað skjalsins sem þú skrifaðir. Að slökkva á öllum eldveggnum vegna þess að ein þjónusta er óaðgengileg skiptir litlu vandamáli fyrir stóru.

Þröngir teljarar eru ódýra leiðin til að finna hafnaða flæðið. Skráningarregla sem takmörkuð er við eitt áfangastað og eina höfn sýnir hvort sleppingin gerist á staðnum án þess að grípa umferð annarra. Fjarlægðu skráningarregluna þegar rannsókninni lýkur, því hún er greining en ekki stefna, og svæðaskjöl firewalld skýra hvernig viðmót og þjónustur sameinast.

Athugaðu lagfæringuna án þess að missa læsinguna

Skoðaðu beittu stöðuna með stjóranum sem á hana, með skipunum sem passa við bakendann sem þú skráðir. Listinn hér að neðan gerir ráð fyrir að firewalld sé við stjórn; settu ígildið fyrir nftables eða ufw í staðinn fyrir að keyra alla. Að blanda verkfærum í einni lotu er leiðin sem vél endar með tvö andstæð reglusett.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Fyrsta skipunin nefnir svæðin og viðmótin sem þeim er úthlutað, sem sýnir hvar göngin lentu í raun. Sú seinni prentar reglur og þjónustur svæðis, svo þú sjáir hvort VPN-viðmótið er yfirleitt þakið. nftables-listinn er grundvallarsannleikur fyrir bakendann sem er í notkun, og regla sem er aðeins til í stillingaskrá birtist ekki þar. Berðu saman þrjár útgáfurnar við regluna sem þú bættir við, og misræmið nefnir sig yfirleitt sjálft.

Endurtaktu síðan upprunalegu beiðnina og bilanatferðina sem þú krefst. Nývirkt vefsvæði er ekki nóg ef sama breytingin fjarlægði læsingu biðlarans, svo prófaðu líka óvarið slóð. Skráðu stjórann, bakendann, viðmótið og tilgang reglunnar, því pakkauppfærsla sem vekur annan stjóra mun annars byggja allt óreiðuna upp aftur.