Hvar VPN-NAT á heima í before.rules UFW og hvernig á að prófa það

NAT-regla sem virkar þegar hún er skrifuð í skel mistekst þegar henni er límd inn í before.rules, því sú skrá er ekki skrift. Hún er skjal í endurheimtarformi með töfluhluta, keðjuyfirlýsingar og COMMIT-merki fyrir hverja töflu. Lína á röngum stað annaðhvort stöðvar alla endurheimtina eða sleppir hljóðlega reglum sem þú hélt að væru þar. Leiðbeiningin hér að neðan setur brotið þar sem ramminn á von á því og sannar niðurstöðuna fyrir næstu endurhleðslu.

Skeljarskipun er ekki endurheimtarskrá

Lína sem byrjar á iptables -t nat er fyrirmæli til iptables-tvíkvikjunnar, en skráin sem UFW les er lýsing á heildarreglusafni. Munurinn er ekki fegrunaratriði: endurheimtarformið verður að vita í hvaða töflu það er, hvaða keðjur eru til og hvar taflan endar. Skipun sem límd er í það skjal er annaðhvort setningarvilla eða, verra, regla sem fest er við röngu töfluna. Ramminn hleður þessum skrám með endurheimtartólum einmitt vegna þess að þær eru lýsandi en ekki raðbundnar.

Skjalið er líka hlaðið sem heild, svo ein gallaður hluti getur stöðvað beitingu afgangs skrárinnar. Þess vegna dregur lítil villa í NAT-broti filtrunarreglurnar með sér niður, og þannig verður breyting á eldvegg að niðurfalli.

Setja brotið inni í fyrirliggjandi töfluhluta

NAT-brot hefur lögun, og lögunin skiptir meira máli en reglutextinn inni í því. Töfluhausinn opnar hlutann, keðjuyfirlýsingar koma upp telurunum, reglurnar fylgja og COMMIT lokar hlutnum.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.55.0.0/24 -o ens3 -j MASQUERADE
COMMIT

Hópurinn og viðmótið hér að ofan eru staðgenglar fyrir þín; uppbyggingin er sá hluti sem er þess virði að afrita. Ef skráin inniheldur þegar hluta *nat, bættu reglunni inni í þeim hluta í stað þess að opna annan, því formið gerir ráð fyrir einu COMMIT á töflu og tveir hlutar fyrir sömu töflu eru viðgerð sem bíður þess að gerast. Haltu keðjuskilgreiningum dreifingarinnar ósnortnum, þar á meðal þeim sem söluaðilinn bætti við fyrir sína eigin samþættingu. Handbók UFW-rammans skjalfestir skrárnar before, user og after ásamt kröfunni um samsvarandi COMMIT.

Ef skráin reynist tóm, ekki fylla hana frá kennsluefni. Staðfestu hvaða pakki á hana og hver raunverulega virka stefnan er, því tóm varanleg skrá sannar ekki að kjarninn hafi engar reglur, og hlaðið reglusafn sannar ekki að næsta endurhleðsla hafi fulla skrá til að lesa. Endurheimtu studdu grunnlínuna fyrst og beittu síðan breytingum staðarins aftur ofan á hana.

Prófaðu kandídatið án þess að beita því

Endurheimtartólið getur þáttað og byggt reglusafn án þess að beita því, sem er ódýrasta prófið sem völ er á. Keyrðu það á vernduðu eintaki í stað virku skrárinnar, og lestu villutextann í stað þess að lesa aðeins útgangsstöðuna. Þáttunarvilla nefnir línu og venjulega töflu, sem er meira en misheppnuð endurhleðsla segir þér.

sudo cp /etc/ufw/before.rules /root/before.rules.bak
sudo iptables-restore --test < /root/before.rules.bak
echo "exit: 0"

Að standast þá athugun sannar að skjalið þáttast og ekkert annað. Hún sannar ekki að kandídatið innihaldi enn hverja keðju sem UFW er háð, að það leyfi aðeins upprunana sem þú ætlaðir eða að fjarnýting haldist aðgengileg. Þetta eru aðskilin yfirferðir, og sú síðasta á skilið annað fundartímabil sem opnað er áður en þú byrjar.

Veldu tólið sem passar við uppsettu bakendann og vistfangafjölskylduna. Vél sem keyrir nft-bakendann gegnum samhæfingarlagið þarf samsvarandi skipun, og IPv6-reglur lifa í allt annarri skrá.

Haltu framleiðslu, NAT og aðgangsstefnu aðskildum

Upprunaaðlögun leysir vistfanga vandamál og gefur ekkert. Framleiðsla er sérstakt leyfi sem stýrt er af sysctl og af filtrartöflunni, og það er það sem fólk gleymir þegar göng leiða en flytja engan umferð. Aðgangsstefna er þriðja ákvörðunin um hvaða upprunar mega ná til hvaða þjónustu, og engin NAT-regla lýsir henni. Að halda þessum þremur aðskildum er það sem gerir bilun greinanlega í stað eins óljós einkennis.

sysctl net.ipv4.ip_forward
sudo iptables -t nat -S POSTROUTING
sudo iptables -S FORWARD

Lestu þessi þrjú úttök saman en ekki eitt í einu. Masquerade-regla með framleiðslu óvirka framleiðir biðlara sem tengist og nær hvergi, sem frá sjónarhóli biðlarans lítur nákvæmlega út eins og leiðarvilla og sendir fólk á ranga skrá. Filtrartaflan er líka staðurinn þar sem of breitt accept felur sig, svo athugaðu sjálfgefna stefnu hennar á meðan þú ert þar.

Staðfestu endurhleðslu, synjun og tap á VPN

Þrjár athuganir mynda fullkomið samþykkispróf: endurhleðslan tekst, leyfð aðgerð biðlara virkar og beiðni sem á að hafna er í raun hafnað. Þriðja athugunin er sú sem sleppt er, og hún er eina sönnunin fyrir því að stefnan geri nokkuð yfirhöfuð.

sudo ufw reload
sudo ufw status verbose
sudo iptables -t nat -L POSTROUTING -n -v

Prófaðu síðan bilunina sem þú hannaðir fyrir. Láttu göngin falla og fylgstu með því hvað vélin gerir, því stefna sem virkar aðeins á meðan VPN er í gangi er stefna með ósagða hæð. Hladdu aftur einu sinni í viðbót eftir það til að sanna að skráin, en ekki einhver eftirstöðvar keyrsluástands, framleiði virka niðurstöðu.

IPv4 NAT segir ekkert um IPv6, svo tilgreindu fyrirhugaða þekju fyrir báðar fjölskyldurnar í sömu athugasemd og regluna. Markmiðið er samhangandi stýrð stefna, og brot sem varð fyrir tilviljun þáttanlegt er ekki sönnun fyrir henni.