Linux დისტრიბუტივის firewall-მა შეიძლება დაბლოკოს თქვენი VPN ტრაფიკი

გვირაბი ადის, ჟურნალი ამბობს დაკავშირებულია, და ერთი აპლიკაცია მაინც ვერაფერს აღწევს. Linux კლიენტზე ეს ჩვეულებრივ ნიშნავს, რომ დისტრიბუტივის firewall ფილტრავს გზას, რომელსაც VPN კლიენტი არასდროს მართავდა. ორი მენეჯერი შეიძლება ერთდროულად იყოს აქტიური, თითოეულს ინტერფეისის, ზონისა და ტრაფიკის მიმართულების შესახებ საკუთარი წარმოდგენა აქვს. მფლობელის იდენტიფიცირება რაიმეს რედაქტირებამდე უფრო სწრაფია, ვიდრე წესების ცდა მანამ, სანამ რამე იმუშავებს.

იპოვეთ მენეჯერი და backend

დაიწყეთ იმით, რაც რეალურად ჩატვირთულია და არა იმით, რაც დაყენებულია. დისტრიბუტივმა შეიძლება მოგაწოდოს firewalld, ufw და ჩვეულებრივი nftables სერვისი, და მათგან მხოლოდ ერთი ფლობს მოქმედ წესების ნაკრებს. პაკეტები მშვიდად თანაარსებობენ, და არასწორი ფრონტენდიდან შეყვანილი წესი არასდროს აღწევს ბირთვამდე. წაიკითხეთ აქტიური სერვისი, შემდეგ წაიკითხეთ მის მიერ შექმნილი წესების ნაკრები.

backend ისეთივე მნიშვნელოვანია, როგორც ფრონტენდი. firewalld-ის ინსტალაციას შეუძლია მართოს nftables ან ძველი iptables backend ვერსიისა და კონფიგურაციის მიხედვით, და ორივე განსხვავებულ შემოწმების გამომავალს იძლევა. ჩაწერეთ დისტრიბუტივი, ვერსია და backend ბილეთში, სანამ თქვენს სისტემას რომელიმე სახელმძღვანელოს შეადარებთ.

შეათანხმეთ მიმართულება და ინტერფეისი

გამავალი კლიენტის მოთხოვნა, შემავალი მსმენელი და გადაგზავნილი პაკეტი სხვადასხვა კაუჭს გაივლის, და ერთისთვის განკუთვნილი წესი დანარჩენებს არ ფარავს. ზონა, რომელიც ლოკალურ LAN-ს უშვებს, ხშირად არ მოიცავს გვირაბის ინტერფეისს ან VPN მისამართების აუზს. გვირაბის ინტერფეისი ჩვეულებრივ ნაგულისხმევ ზონაში ეშვება, რომელიც ხშირად უფრო მკაცრია, ვიდრე ფიზიკური ადაპტერის ზონა. ეს შეუსაბამობა ხსნის, თუ რატომ მუშაობს დათვალიერება LAN-ში და ჩერდება იმ წუთას, როცა გვირაბი ადის.

ჰკითხეთ, რომელი მიმართულება ვერ მოხდა, სანამ წესს აირჩევთ. აპლიკაციას, რომელსაც გარეთ დაკავშირება არ შეუძლია, სჭირდება გამავალი გზა, ხოლო შემავალ სერვისს სჭირდება შემავალი გზა გვირაბის ინტერფეისზე. არასწორ ჯაჭვში წესის დამატება ქმნის ცვლილებას, რომელიც გამოყენებულად გამოიყურება და საერთოდ არაფერს აკეთებს.

შეინარჩუნეთ წესების მფლობელების შეთანხმება

VPN კლიენტის კაუჭი, კონტეინერების გაშვების გარემო და დისტრიბუტივის სერვისი ყველა შეიძლება ცვლიდეს ქსელს, და ისინი ერთმანეთთან არ კოორდინირდებიან. ხელით შეყვანილი წესები ქრება შემდეგ გადატვირთვაზე, და მენეჯერის ჯაჭვში ჩასმული წესები შეიძლება შეფასდეს იმ თანმიმდევრობით, რომელიც არ გინდოდათ. გამოიყენეთ მენეჯერის მუდმივი კონფიგურაცია და შეამოწმეთ მიღებული წესების ნაკრები და არა თქვენ მიერ დაწერილი ფაილი. მთელი firewall-ის გამორთვა იმის გამო, რომ ერთი სერვისი მიუწვდომელია, პატარა პრობლემას დიდზე ცვლის.

ვიწრო მრიცხველები უარყოფილი ნაკადის პოვნის იაფი გზაა. ერთ დანიშნულებასა და ერთ პორტზე შეზღუდული ჟურნალის წესი გვიჩვენებს, ხდება თუ არა ჩამოგდება ლოკალურად სხვისი ტრაფიკის დაჭერის გარეშე. ამოიღეთ ჟურნალის წესი გამოძიების დასრულებისას, რადგან ეს დიაგნოსტიკაა და არა პოლიტიკა, და firewalld-ის ზონების დოკუმენტაცია ხსნის, თუ როგორ ერწყმიან ინტერფეისები და სერვისები.

შეამოწმეთ გასწორება დაბლოკვის დაკარგვის გარეშე

შეამოწმეთ გამოყენებული მდგომარეობა მისი მფლობელი მენეჯერით, თქვენ მიერ ჩაწერილი backend-ის შესაბამისი ბრძანებებით. ქვემოთ მოცემული სია ვარაუდობს, რომ firewalld პასუხისმგებელია; შეცვალეთ nftables-ის ან ufw-ის ეკვივალენტით ყველას გაშვების ნაცვლად. ერთ სესიაში ხელსაწყოების შერევა ის გზაა, რომლითაც მანქანა ორ ურთიერთსაწინააღმდეგო წესების ნაკრებით რჩება.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

პირველი ბრძანება ასახელებს ზონებს და მათთვის მინიჭებულ ინტერფეისებს, რაც აჩვენებს, სად დაეშვა გვირაბი სინამდვილეში. მეორე ბეჭდავს ზონის წესებსა და სერვისებს, ასე რომ ხედავთ, დაფარულია თუ არა VPN ინტერფეისი საერთოდ. nftables-ის სია გამოყენებული backend-ის ძირითადი სიმართლეა, და მხოლოდ კონფიგურაციის ფაილში არსებული წესი იქ არ ჩნდება. შეადარეთ სამი გამომავალი თქვენს დამატებულ წესს, და შეუსაბამობა ჩვეულებრივ თავად ასახელებს საკუთარ თავს.

შემდეგ გაიმეორეთ საწყისი მოთხოვნა და თქვენ მიერ მოთხოვნილი წარუმატებლობის ქცევა. ახლად მომუშავე საიტი საკმარისი არ არის, თუ იმავე ცვლილებამ კლიენტის დაბლოკვა მოხსნა, ამიტომ შეამოწმეთ დაუცველი გზაც. ჩაწერეთ მენეჯერი, backend, ინტერფეისი და წესის დანიშნულება, რადგან მეორე მენეჯერის გაცოცხლებელი პაკეტის განახლება სხვაგვარად მთელ არეულობას თავიდან ააშენებს.