UFW-ის გამონაკლისი VPN-ისთვის, როცა endpoint-ის მისამართი იცვლება

კლიენტი ცდილობს ხელახლა დაკავშირებას და მანქანიდან არაფერი გადის, თუმცა იგივე პროფილი გასულ კვირას მუშაობდა. endpoint-ის host სახელი ახლა სხვა მისამართზე წყდება და გამავალი გამონაკლისი ჯერ კიდევ ძველს ასახელებს. ეს ერთი მოძველებული ნებართვა საკმარისია, რომ მომუშავე kill switch სრულ შეწყვეტად აქციოს, და ის არსად ჩანს desktop-ის მიერ ნაჩვენებ არცერთ სტატუსის ინდიკატორში. შეკეთება პატარა სამუშაო ნაკადია და არა ერთი ხაზის ცვლილება.

გვირაბი ხელახლა უკავშირდება, შემდეგ არაფერი გადის

გამავალი წესი, რომელიც დანიშნულების მისამართს ასახელებს, მყისიერი სურათია, DNS-ის პასუხები კი ასეთი არ არის. როცა პროვაიდერი მისამართს ატრიალებს, ის პაკეტი, რომელსაც კლიენტი ახალი peer-ისკენ აგზავნის, არაფერს ემთხვევა და ნაგულისხმევი აკრძალვით იშლება. შემდეგ კლიენტი იუწყება ვადის ამოწურვას, რაც სერვერის პრობლემას ჰგავს და არა firewall-ის.

საჯარო ძიების დაბრუნებული მისამართის დამაგრება დღეს ამუშავებს და ხვალ გატეხილს ტოვებს. ეს ერთჯერადი ცვლილებაა, არა მოვლის პოლიტიკა.

აღწერეთ გამონაკლისი, რომელიც ნამდვილად გაქვთ მხედველობაში

დაიწყეთ იმ ოთხი მნიშვნელობის ჩაწერით, რომლებიც წესს სჭირდება: დამტკიცებული endpoint-ის სახელი ან მისამართების ნაკრები, ტრანსპორტი, დანიშნულების პორტი და ის ინტერფეისი, რომლითაც პაკეტი გადის. ოთხივე ნებართვის ნაწილია და რომელიმე მათგანი შეიძლება შეცდომით იყოს, სანამ წესი ჯერ კიდევ დამაჯერებლად გამოიყურება. წესი, რომელიც სამ მათგანში სწორია, ზუსტად ისე წარცხდება, როგორც ოთხივეში მცდარი წესი. ჩაწერეთ ისინი ბრძანების აკრეფამდე, რადგან წესი მხოლოდ იმდენად კარგია, რამდენადაც კარგია მის უკან არსებული აღწერა.

ქვემოთ მოცემული ბრძანება აჩვენებს ფორმას ერთი IPv4 UDP endpoint-ისთვის სადენიან uplink-ზე. შეცვალეთ ორივე მნიშვნელობა იმათით, რომლებიც განლაგების წინააღმდეგ გადაამოწმეთ.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

ეს ნებართვა არ ანიჭებს უფლებას თვითნებურ დანიშნულებებს იმავე პორტზე, არ ქმნის მსმენელს და არ ფარავს TCP-ს. UFW-ის სახელმძღვანელოს გვერდი აღწერს, როგორ ავიწროებს მისამართი, ინტერფეისი და პროტოკოლი წესს, და სწორედ ეს ავიწროებაა მთელი არსი.

განაახლეთ ის როგორც ერთი სამუშაო ნაკადი

მოეპყარით გამონაკლისს როგორც რესურსს, რომელსაც აქვს მფლობელი და გადასვლა, და არა როგორც ბრძანებას, რომლის გაშვებაც ვინმეს ახსოვს. ჯერ მიიღეთ კანდიდატი განლაგების საკუთარი გამხსნელიდან და endpoint-ების ინვენტარიდან, და განზრახ განსაზღვრეთ, როგორ იხსნება ეს სახელი გვირაბის არსებობამდე. შემდეგ გადაამოწმეთ კანდიდატი მიზნობრივი პროტოკოლის, პორტისა და მისამართების ოჯახის მიმართ, სანამ წესების ნაკრებს შეეხებით.

ჯერ დააყენეთ ახალი ვიწრო ნებართვა და დაადასტურეთ, რომ ის ჩაიტვირთა, რადგან კლიენტისთვის იმ მისამართის გამოყენების მოთხოვნა, რომელსაც firewall ჯერ კიდევ ბლოკავს, იწვევს ჩავარდნას, რომელიც სერვერის გაუმართაობას ჰგავს. ცვლილების დროს დაუკავშირებელი წესები ხელუხლებლად დატოვეთ.

დააკვირდით კლიენტის გადასვლას მისი მხარდაჭერილი ხელახალი დაკავშირების გზით და დაადასტურეთ, რომელი დისტანციური მისამართი აირჩია. მხოლოდ DNS-ის განახლება არ ამოძრავებს არსებულ socket-ს და endpoint-ის მდგრადობის პარამეტრმა შეიძლება კლიენტი ძველ peer-ზე დიდხანს შეინარჩუნოს ჩანაწერის შეცვლის შემდეგაც.

ბოლოს განზრახ გაიხმეთ მოძველებული ნებართვა, დაუშვით დამტკიცებული გადაფარვის ფანჯარა, სანამ ძველი სესია ჯერ კიდევ აქტიურია. ძველი ჩანაწერის ძალიან ადრე წაშლა ხანმოკლე შეწყვეტას იწვევს; მისი სამუდამოდ დატოვება ტოვებს ნებართვას, რომელსაც ვერავინ ახსნის.

განზრახ გაიხმეთ ძველი ნებართვა

წაშლა ის ადგილია, სადაც რისკის უმეტესი ნაწილია, რადგან ძველი წესი ერთადერთია, რაც ახლა მუშაობს. თუ კანდიდატის დაყენება ჩავარდა, არ გააგრძელოთ და არ წაშალოთ ჩანაწერი, რომელიც ჯერ კიდევ ატარებს ტრაფიკს. თუ თავად წაშლა ჩავარდა, მოძველებული ნებართვა მოძველებულად ჩაწერეთ და არ გამოაცხადოთ პოლიტიკა მიმდინარედ.

გაიმეორეთ მთელი გადახედვა, როცა uplink Ethernet-იდან Wi-Fi-ზე გადადის, როცა ტრანსპორტი იცვლება, ან როცა სერვისი რამდენიმე მისამართზე ბრუნავს. ინტერფეისისთვის სპეციფიკური წესი უნდა შეწყვიტოს დამთხვევა ქსელის ცვლილების შემდეგ, და ეს ქცევა სწორია, თუმცა რეგრესიას ჰგავს.

შემდეგ დაამტკიცეთ ხელშეკრულება უვნებელი ტრაფიკით. დამტკიცებული endpoint უნდა იყოს მისაწვდომი დაყენების დროს, დაცული აპლიკაცია უნდა მუშაობდეს დაკავშირების შემდეგ, და დაუკავშირებელი პირდაპირი ტრაფიკი უნდა დარჩეს დაბლოკილი შეწყვეტის დროს. ჩართეთ მისამართების ორივე ოჯახი და ერთი განზრახ ჩავარდნილი განახლების მცდელობა, რადგან დამაგრებული მისამართის ერთი ცვლილების შემდეგ წარმატებული კავშირი არცერთ ამ შემთხვევას არ ამტკიცებს.