ufw allow 443 gerði ekkert fyrir þjónustu bak við VPN-ið

Ping tekst frá VPN-biðlara, TCP-þjónustan rennur út á tíma og ufw allow 443/tcp breytir engu. Þegar forritið keyrir á hýsli bak við gáttina en ekki á gáttinni sjálfri var það leyfi skrifað fyrir ranga umferðarleið. Pakkinn er ekki stílaður á eldvegginn og er ekki afhentur staðbundnu ferli, þannig að inntaksreglurnar sjá hann aldrei. Lagfæringin er leiðarregla sem beinist að straumnum sem er sendur áfram, og sönnunin fyrir henni er þegar í annálnum.

Ákveddu hvort áfangastaðurinn er staðbundinn eða sendur áfram

Lestu pakkann eins og kjarninn sér hann. Umferð sem er afhent þjónustu á gáttinni er staðbundið inntak. Umferð sem gáttin beinir áfram til annars hýsils er send áfram, og UFW heldur aðskildum reglusettum fyrir leiðirnar tvær. Greininguna ráða áfangastaðarheitið og leiðarleitin, ekki tengið sem pakkinn kom á.

Annálarlína sem sýnir sama tengið í bæði IN og OUT getur samt lýst leiðbeindum pakka, því göng sem bera biðlara inn og út úr einu tæki líta nákvæmlega þannig út. Áfangastaðarheitið svarar spurningunni hraðar en tengjanöfnin. Að sjá sama nafnið tvisvar sannar ekki staðbundna afhendingu, og að finna upp göngutengi sem uppsetningin bjó aldrei til hjálpar ekki heldur.

Lestu blokkina áður en þú bætir við nokkurri reglu

Endurtaktu eina heimilaða tengitilraun og skráðu uppruna hennar, áfangastað, siðareglur og áfangastaðarport eins og gáttin skráði þau. Berðu þessi fjögur gildi saman við annálarfærsluna og við raunverulega staðsetningu þjónustunnar. Fyrra heppnað ping sannar aðeins að eigin skipti hafi verið heimiluð, og eldveggur getur meðhöndlað TCP SYN til forrits á allt annan hátt.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Fyrsta skipunin skilar úrskurðinum ásamt reitum hans, og sú seinni sýnir hvað er þegar hlaðið og í hvaða röð. Lestu báðar áður en þú breytir nokkru, því fyrri synjun ofan við regluna þína útskýrir sömu einkenni án nokkurrar vantar reglu.

Skrifaðu þröngustu leiðarregluna sem passar

Í þessu dæmi koma biðlarar á tun0 frá 172.20.8.0/24, þjónustan hlustar á 10.30.0.15 á porti 8443, og gáttin fer út um ens5. Þessi gildi voru valin til að líkjast alls ekki sjálfgefnu skýja-VPC 10.0.0.0/16 eða heimaneti 192.168.0.0/16, og 8443 heldur dæminu fjarri eigin 443-hlustun gáttarinnar.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Þurrkeyrslan prentar reglusettið sem myndi verða til, og það er ódýrasta leiðin til að sjá hvort reglan þín lendir fyrir eða eftir fyrirliggjandi synjun. Staðfestu tengjanöfnin og innri heitin gagnvart uppsetningunni en ekki dæminu, og mundu að þegar NAT áfangastaðar keyrir fyrst sér sían þýdda áfangastaðinn.

Haltu afturleiðinni stöðufestri

UFW fylgist með heimiluðum tengingum, svo svör við heimiluðum áframsendri streymi eru tekin án skýrrar öfugrar reglu. Að bæta við ótakmarkaðri reglu í gagnstæða átt til að láta hlutina virka víkkar stefnuna langt út fyrir þá einu þjónustu og er ekki þörf fyrir venjulegum beiðni-og-svari skiptum. Haltu afturleiðinni óbeinni og reglusettinu læsilegu.

Beittu reglunni aðeins þegar þurrkeyrslan passar við áform þín, og staðfestu síðan að raðaði listinn sýnir hana á væntanlegum stað. Haltu VPN-hlustaranum og stjórnunarreglunum sem aðskildum málum, því að breyta þeim er önnur ákvörðun en að hleypa einu forriti í gegn. Skráðu breytinguna þar sem grannfræðin er skrifuð, svo næsti verkfræðingur þurfi ekki að enduruppgötva hana úr pakkaskráningu.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Athugaðu hvað UFW getur ekki framfylgt fyrir þig

Rétt regla þarf samt kjarnaframsendingu og leið sem nær til þjónustunnar. Staðfestu bæði áður en þú kennir eldveggnum um í annað sinn.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Líttu síðan út fyrir hýsilinn. Á skýjaplani kemur UFW-stefna gestsins ekki í stað öryggishópa, undirnet ACL-a eða eigin áframsendingarstillingar þjónustuaðilans, svo staðbundin blokkun er sönnun um eitt lag en ekki sönnun þess að öll önnur lög heimili þjónustuna.

Ljúktu með því að prófa nýja tengingu með eldvegginn virkan, frá heimiluðum uppruna og frá óskyldum. Að slökkva á UFW fjarlægir einkennin og eyðileggur sönnunina í sama skipun, og þess vegna ætti það að vera síðasta tilraunin en ekki sú fyrsta.