Ný UFW-regla, gömul tenging: hið staðfesta ástand vinnur

Að bæta við höfnunarreglu og sjá opna niðurhal halda áfram er ekki villa í UFW. Reglan sem þú bættir við stendur á eftir reglum sem þegar hafa samþykkt flæðið, og tenging sem var stofnuð fyrr heldur áfram að passa við þær. Að laga það þýðir að setja hana inn á réttan stað og skilja hvað fyrri reglurnar lofa. Þrönga útgáfan af þeirri breytingu kemur hér á eftir.

Röðin ræður, ekki tilvist reglunnar

UFW er framendi sem skrifar netfilter-reglur í áföngum: rammahuti sem keyrir fyrir notandareglurnar, síðan notandareglurnar sjálfar, síðan huti sem keyrir á eftir þeim. Sjálfgefnar fyrri reglur samþykkja umferð staðfestra og skyldra tenginga, og þær reglur eru metnar áður en nokkuð sem þú bætir við með venjulegu allow eða deny. Skipanaleiðarvísir UFW skjalfestir innsetningarsetninguna og númeruðu stöðusýnina sem þessi breyting byggir á.

Þessi röð útskýrir undrunina. Nýja reglan þín er raunveruleg og hún er í rétta töflunni, en hún er ekki fyrsta ákvörðunin sem pakkinn mætir. Tenging sem þegar er rakin sem staðfest nær aldrei til hennar.

Notaðu route-reglur fyrir þetta verk, því pakknum er áframsent gegnum gáttina í stað þess að vera beint að eigin þjónustum gáttarinnar. Inntaksregla myndi sía ranga umferð og líta út fyrir að gera ekkert.

Settu inn fyrir ofan breiða heimild

Forskoðaðu innsetninguna áður en þú beitir henni og staðfestu að reglan sé ekki þegar annars staðar á listanum. Að tvífalda eins stefnu gerir síðari fjarlægingu tvíræða, og sá sem fjarlægir ranga eintakið tekur ekki eftir því í vikur.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Ef forskoðunin sýnir nákvæmlega eina reglu á þeim stað sem þú býst við, notaðu sömu skipun án dry-run-fánans. Staða 1 setur hana fyrir ofan breiðari notendaheimildirnar, ekki fyrir ofan rammareglurnar sem fjallað var um fyrr. Staðfestu að heiti viðmótsins passi við göngutækið á þessari gátt, því regla sem er bundin við viðmót sem er ekki lengur til mun sitja á listanum og líta rétt út án þess að passa við neitt. Endurnefndu tækjatilvísunina fyrir beitingu, ekki eftir að prófið mistekst.

Engin áfangahöfn er í þeirri reglu, svo hún hafnar öllum TCP-höfnum á því veffangi í stað aðeins HTTPS. Ef ætlunin er ein þjónusta, nefndu höfnina; regla sem er breiðari en stefnan er atburður framtíðar sem bíður fyrsta lesanda síns.

Takmarkaðu uppsprettuna við eitt veffang aðeins ef það veffang er bundið við fyrirhugaða auðkenni. VPN-laug með kviku úthlutun getur gefið sama veffang öðrum viðskiptavini á morgun, og höfnunin myndi fylgja veffanginu frekar en manneskjunni.

Staðfest flæði lifa nýju regluna af

Tengingarrakning er ástæðan fyrir því að núverandi lota heldur áfram. Þegar flæði er skráð sem staðfest samþykkja fyrri reglurnar pakka þess áður en höfnunin þín er skoðuð, og flutningurinn lýkur eins og ekkert hafi breyst. Þess vegna segir prófun með vafra sem endurnýtir opna tengingu þér ekkert um nýju stefnuna. Höfnun getur virst gagnslaus mínútum eftir innleiðingu og vera algjörlega áhrifarík fyrir næsta notanda sem tengist.

Ef krafan felur í sér að skera á lifandi umferð getur þessi breyting á notandareglu ekki veitt það. Að afturkalla rakið ástand er aðskilin aðgerð með eigin áhrifasvæði, og hún tilheyrir eiganda eldveggjarins en ekki þeim sem bætti reglunni við. Að tæma allar tengingar á gátt til að láta eina lotu hverfa er sú tegund lagfæringar sem skapar annan atburð.

Mundu líka mörkin. Þessi regla segir ekkert um ICMP, UDP eða IPv6, svo árangursríkt ping er ekki sönnun þess að höfnunin hafi mistekist. Eitt IPv4-veffang er heldur ekki vefsíða: nafn getur leyst í mörg vefföng, og aðeins það sem þú nefndir er fjallað um.

Prófaðu með nýju flæði

Lestu númeruðu notandareglurnar og áhrifaríka hráa sýnina, opnaðu síðan nýja tengingu frá völdum viðskiptavini:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Hráa sýnin skiptir máli því status sleppir rammareglum sem skrifaðar eru í hönd, svo hún getur látið röðina líta öðruvísi út en kjarninn framfylgir. Berðu saman hvort tveggja áður en þú ályktar að regla sé á röngum stað.

Athugaðu síðan tvær stýringar sem sanna að reglan sé þröng en ekki breið: leyfður áfangastaður frá sama viðskiptavini virkar enn, og annar viðskiptavinur nær enn hafnaða áfangastaðnum ef stefna hans leyfir það. Höfnun sem brýtur báðar prófanir er stefnubreyting, ekki markviss aðgerð.

Þegar prófuninni er lokið skaltu aðeins fjarlægja regluna sem þú bættir við, með því að endurtaka hana nákvæmlega. Ef stefnan er varanleg skaltu afhenda hana eiganda eldveggjarins með auðkenni viðskiptavinarins, eiganda áfangastaðarins og dagsetningu endurskoðunar, svo endurúthlutað gönguveffang skilji ekki eftir sig úrelta höfnun.