Blokkar neyðarrofi UFW VPN-ið þitt? Leyfðu jafningjanum

Þú fylgdir gátlistanum: synja út, leyfa göngin, virkja ufw. Þá bíður biðlarinn við handabandið og tengist aldrei, eða hann tengist og engin síða hleðst. Bæði mistökin koma úr sama skarðinu. Reglan sem leyfir göngunum að vera til vantar, því göngin eru ekki viðmót sem pakkarnir þínir fara út um.

Hvers vegna leyfi á tun0 passar við ekkert í fyrstu

tun0 er búið til af biðlaranum eftir að lota er til. Gagnagrönmin sem byggja þá lotu eru venjulegar UDP-pakkar sem stefnt er að þjónustuveitandanum á porti 1194, og þau fara út um wlan0 eða eth0 með líkamlega upprunafanginu. allow out on tun0 passar aðeins við umferð þar sem útgangsviðmótið er tun0, svo í handabandinu passar það við ekkert.

Setjið default deny outgoing ofan á og ytri pakkarnir eru hent áður en viðmótið birtist. Biðlarinn reynir aftur, nær tímanum og tilkynnir TLS- eða handabandsmistök, sem sendir fólk að leita í skírteinum og MTU á meðan eldveggurinn étur tenginguna hljóðlega. Reglan sem átti að halda umferðinni þinni inni kemur í veg fyrir að hún sé haldin inni.

Viðbragðsviðgerðin gerir lekan varanlega. sudo ufw allow out on wlan0, eða að snúa sjálfgefnu aftur í leyfa, ræsir göngin og skilur vélina eftir án neyðarrofa: næst þegar göngin falla heldur allt áfram um líkamlega millistykkið. Ég tapaði síðdegis einmitt á þessu pari breytinga áður en ég áttaði mig á hvaða pakka ég var í raun að sía.

Hvað tvö pakkasettin þurfa

Umferðin þín fer tvisvar í gegnum eldvegginn, í tveimur myndum. Innri pakkinn fer frá fangi gagnanna út um tun0. Ytri pakkinn fer frá líkamlega fanginu til jafningsins, og það er eina sem sést á vírnum. Ein regla fyrir hverja mynd:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Skiptu um fang og port fyrir þau úr þínu eigin sniði. Jafningar WireGuard svara venjulega á 51820/udp; OpenVPN-snið sem fara um TCP 443 þurfa það port í staðinn. Smáatriðin eru frábrugðin, myndin ekki: báðar reglur eru þröngar og saman skilgreina þær einu áfangastaðina sem vélin getur náð á meðan göngin eru niðri.

Röðin er önnur goðsögnin. Með hráu iptables lestu keðjuna ofan frá og niður og rökræðir hvaða regla vinnur. ufw er ekki þunn umbúð um listann sem þú slóst inn; það þýðir reglurnar þínar í eigin keðjur og velur innsetningarpunktana. ufw status prentar þær í röð ufw, ekki þína. Þegar regla virðist vera hunsuð skaltu bera saman ufw show added við þýdda mengið frá iptables -S | grep ufw áður en þú skrifar nokkuð upp á nýtt.

Undantekningin verður að vera ein fang breið

Regla um jafningja er aðeins rétt á meðan hún nefnir fangið sem biðlarinn hringir í. Þjónustuveitendur snúa endapunktum, og snið sem leysir hýsingarnafn mun fylgja DNS-breytingu á nýtt fang á meðan reglan heldur áfram að benda á það gamla. Þegar göng sem virkuðu í mánuði hætta að rísa skaltu bera saman fangið í reglunni við það sem biðlarinn leitar að áður en þú breikkar nokkuð.

Að breikka yfir heilt undirnet, eða á hvern áfangastað á porti 1194, snýr stefnunni aftur í eldvegg með gat. Undantekningin er neyðarrofinn; þegar hann er breiður er ekkert eftir að slökkva á. Haltu honum á einu fangi og skildu eftir athugasemd sem nefnir sniðið og veitandann sem hann tilheyrir, því eftir sex mánuði mun fangið virðast handahófskennt.

Nafnaupplausn á skilið eigin línu. Uppflettingin á sér stað áður en göngin eru til, um líkamlega viðmótið, svo ströng stefna um synjun útsendingar getur skilið biðlarann eftir ófæran að finna sinn eigin þjón. Leyfðu port 53 að fangi upplausnaraðilans þíns, eða leystu einu sinni og festu fangið í sniðinu. Að leyfa DNS á hverju viðmóti er ákvörðun, ekki sjálfgefið.

Byggðu stefnuna áður en gagnanna er þörf

ufw enable beitir allri stefnunni í einu og endurhleður keðjurnar sínar, og að breyta sjálfgefinni stefnu á eldvegg í gangi endurhleður þær líka. ufw handbókin varar við því að þetta geti fellt núverandi tengingar eins og SSH. Þess vegna fara skipanirnar í þessari röð, með SSH-reglunni fyrir virkjunina og opna konsólulotu:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset er viljandi haft utan við þann blokk. Það eyðir hverri reglu og slökkvir á eldveggnum, og á fjarlægum hýsil er næsta virkjun það sem fellir lotuna þína. Ef þú endurstillir samt, bættu við SSH-reglunni og staðfestu aðra leið aftur um konsólu áður en þú heldur áfram.

Röðin er ekki kosmetísk. Reglur sem bætt er við meðan ufw er í gangi skola engu, en á því augnabliki sem þú veltir sjálfgefinni stefnu endurhleðast keðjurnar, og lota sem gamla stefnan leyfði fer með þeim. Gerðu sjálfgefnu gildin, leyfin og virkjunina í einni ferð, á meðan þú hefur enn leið inn sem er ekki háð vélinni.

Prófaðu læsta stöðu og haltu afturkölluninni

Óprófaður neyðarrofi er ágiskun. Taktu biðlarann úr sambandi viljandi og reyndu að hlaða síðu: það verður að mistakast. Tenging aftur og það verður að jafna sig án þess að snerta reglu. sudo ufw status verbose staðfestir sjálfgefnu gildin og stöðu skráningar, og ufw status numbered sýnir hvaða prófunarreglu á að eyða þegar hún lifir tilgang sinn.

Haltu öfugu skriftunni við hlið þeirrar beinu. Vél með synjun útsendingar og dauð göng getur ekki sótt sína eigin viðgerð, svo afturköllunin verður að vera á diskinum og læsileg af konsólu:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Keyrðu hana þegar göngin eru þegar niðri og reglurnar verða að fara af, ekki sem venjulegt skref. Áður en þú lokar skjánum eiga fjórir hlutir að gilda: regla jafningsins nefnir nákvæmlega eitt fang, DNS hefur nefnda undantekningu, virkjunin kom eftir leyfin, og að draga göngin drepur venjulega umferð án þess að drepa biðlarann fyrir fullt og allt.