UFW-undanþága fyrir VPN þegar endapunktarslóðin breytist

Biðlarinn reynir að tengjast aftur og ekkert fer út af vélinni, þótt sama prófíllinn hafi virkað í síðustu viku. Vélarheiti endapunktsins leysist nú í annað vistfang, og útleiðarundanþágan nefnir enn það gamla. Þessi eina úrelta heimild nægir til að breyta virkri kill switch í algert niðurföll, og hún er ósýnileg í hverjum stöðuvísi sem skrifborðið sýnir. Viðgerðin er lítið vinnuferli, ekki einnar línu breyting.

Göngin tengjast aftur og þá fer ekkert út

Útleiðarregla sem nefnir áfangavistfang er augnabliksmynd, og DNS-svör eru það ekki. Þegar þjónustuveitandinn snýr vistfangi passar pakkinn sem biðlarinn sendir í átt að nýja jafningjanum við ekkert og er felldur af sjálfgefnu banninu. Biðlarinn tilkynnir þá tímamörk, sem hljómar frekar eins og vandamál á þjóni en í eldvegg.

Að festa hvaða vistfang sem opinbert uppfletting skilar lætur daginn í dag virka og skilur morgundaginn eftir bilaðan. Það er einstök breyting, ekki viðhaldsstefna.

Lýstu undanþágunni sem þú átt í raun við

Byrjaðu á að skrifa niður fjögur gildin sem reglan þarf: samþykkt endapunktarheiti eða vistfangasafn, flutningurinn, áfangahliðið og viðmótið sem pakkinn fer út um. Öll fjögur eru hluti heimildarinnar, og hvað sem er þeirra getur verið rangt á meðan reglan lítur enn trúverðug út. Regla sem er rétt á þremur þeirra bregst nákvæmlega eins og regla sem er röng á öllum fjórum. Skrifaðu þau niður áður en þú slærð inn skipunina, því regla er aðeins eins góð og lýsingin á bak við hana.

Skipunin hér að neðan sýnir formið fyrir einn IPv4 UDP-endapunkt á kapalsnúru. Skiptu báðum gildunum út fyrir þau sem þú hefur staðfest gegn uppsetningunni.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Þessi heimild leyfir ekki handahófskennd áfangamörk á sama hliði, býr ekki til hlustanda og nær ekki yfir TCP. Handbókarsíða UFW lýsir því hvernig vistfang, viðmót og samskiptaregla þrengja reglu, og þrengingin er allt málið.

Endurnýjaðu hana sem eitt vinnuferli

Meðhöndlaðu undanþáguna sem auðlind með eiganda og umskiptum, ekki sem skipun sem einhver man eftir að keyra. Fáðu fyrst frambjóðanda úr eigin leysi og endapunktaskrá uppsetningarinnar, og skilgreindu viljandi hvernig það heiti leysist áður en göngin verða til. Staðfestu svo frambjóðandann gegn fyrirhuguðum samskiptareglum, hliði og vistfangafjölskyldu áður en þú snertir reglusettið.

Settu nýju þröngu heimildina inn fyrst og staðfestu að hún hafi hlaðist, því að biðja biðlarann um að nota vistfang sem eldveggurinn lokar enn á framkallar bilun sem lítur út eins og þjónabilun. Láttu ótengdar reglur vera ósnertar meðan á breytingunni stendur.

Fylgstu með umskiptum biðlarans í gegnum studda endurtengingarleið og staðfestu hvaða fjarvistfang hann valdi. Að uppfæra DNS eitt og sér hreyfir ekki núverandi sokk, og stilling um varanleika endapunkts getur haldið biðlaranum á gamla jafningjanum löngu eftir að færslan breyttist.

Að lokum skaltu viljandi draga úreltu heimildina til baka og leyfa samþykkt skörunarfrest á meðan gömul lota er enn virk. Að fjarlægja gömlu færsluna of snemma veldur skammvinnu niðurföll; að halda henni að eilífu skilur eftir heimild sem enginn getur útskýrt.

Dragðu gömlu heimildina viljandi til baka

Fjarlægingin er þar sem mest hættan liggur, því gamla reglan er það eina sem virkar núna. Ef uppsetning frambjóðandans mistókst skaltu ekki halda áfram og eyða færslunni sem ber enn umferð. Ef fjarlægingin sjálf mistekst skaltu skrá úreltu heimildina sem úrelta í stað þess að lýsa stefnuna gilda.

Endurtaktu alla yfirferðina þegar snúran breytist úr Ethernet í Wi-Fi, þegar flutningurinn breytist eða þegar þjónusta snýst um nokkur vistföng. Viðmótssértæk regla á að hætta að passa eftir netbreytingu, og sú hegðun er rétt þótt hún líti út eins og afturför.

Sannaðu svo samninginn með meinlausri umferð. Samþykkti endapunkturinn verður að vera aðgengilegur við uppsetningu, varið forritið verður að virka þegar búið er að tengjast, og ótengd bein umferð verður að vera áfram blokkuð meðan niðurfall stendur. Láttu báðar vistfangafjölskyldur og eina viljandi misheppnaða uppfærslutilraun fylgja, því tenging sem tekst eftir eina breytingu á föstu vistfangi sannar ekkert af þessum tilvikum.