Жаңа UFW ережесі, ескі қосылым: басымдық — орнатылған күйде

Тар ауқымды UFW маршруттық тыйымы алдыңғы ережелер қабылдап қойған трафикті өткізіп жібереді. Оны қайда кірістіру керектігін және орнатылған күйдің әлі де нені өткізетінін қараңыз.

Тыйым ережесін қосып, ашық жүктеу жалғасып жатқанын көру UFW қатесі емес. Сіз қосқан ереже ағынды әлдеқашан қабылдаған ережелердің кейін тұр, ал бұрын орнатылған қосылым оларға сәйкес келе береді. Мұны түзету үшін дұрыс орынға кірістіріп, алдыңғы ережелердің не уәде ететінін түсіну керек. Бұл өзгерістің тар нұсқасы төменде.

Ереженің бар-жоғы емес, реттілік шешеді

UFW — netfilter ережелерін кезең-кезеңімен жазатын алдыңғы бет: пайдаланушы ережелерінен бұрын іске қосылатын қаңқа бөлімі, содан кейін пайдаланушы ережелерінің өзі, содан кейін олардан кейін іске қосылатын бөлім. Стандартты алдыңғы ережелер орнатылған және байланысты қосылымдардың трафигін қабылдайды, және бұл ережелер кәдімгі allow немесе deny арқылы қосатын кез келген нәрседен бұрын бағаланады. UFW командалар анықтамасы кірістіру синтаксисін және осы өзгеріс тәуелді болатын нөмірленген күй көрінісін құжаттайды.

Осы реттілік таңданысты түсіндіреді. Жаңа ережеңіз нақты және дұрыс кестеде тұр, бірақ ол пакет кездесетін бірінші шешім емес. Орнатылған деп бақыланып жатқан қосылым оған ешқашан жетпейді.

Бұл жұмыс үшін route ережелерін пайдаланыңыз, өйткені пакет шлюздің өз қызметтеріне арналмай, шлюз арқылы жіберіледі. Кіріс ережесі дұрыс емес трафикті сүзеді де, ештеңе істемейтін сияқты көрінер еді.

Кең рұқсаттың үстіне кірістіріңіз

Кірістіруді қолданар алдында алдын ала қарап, ереженің тізімде басқа жерде әлдеқашан жоқ екенін растаңыз. Бірдей саясатты қайталау кейінгі жоюды екіұшты етеді, ал қате көшірмені жойған адам мұны апталар бойы байқамайды.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Егер алдын ала қарау күткен орында дәл бір ережені көрсетсе, сол команданы dry-run жалаушасынсыз қолданыңыз. 1-орын оны кеңірек пайдаланушы рұқсаттарының үстіне қояды, бұрын қарастырылған қаңқа ережелерінің үстіне емес. Интерфейс атауы осы шлюздегі туннель құрылғысына сәйкес келетінін растаңыз, өйткені енді жоқ интерфейске байланған ереже тізімде тұрып дұрыс көрінеді, бірақ ештеңеге сәйкес келмейді. Құрылғы сілтемесін қолданар алдында өзгертіңіз, тест сәтсіз болғаннан кейін емес.

Бұл ережеде мақсатты порт жоқ, сондықтан ол сол мекенжайдағы тек HTTPS емес, барлық TCP порттарын тыйым салады. Егер мақсат бір қызмет болса, портты атаңыз; саясаттан кең ереже — алғашқы оқырманын күтіп тұрған болашақ оқиға.

Көзді бір ғана мекенжайға шектеңіз, егер сол мекенжай көзделген жеке басына байланған болса. Динамикалық бөлуі бар VPN пулы ертең сол мекенжайды басқа клиентке бере алады, ал тыйым адамды емес, мекенжайды қуып отырады.

Орнатылған ағындар жаңа ережеден аман қалады

Қосылымдарды бақылау — қолданыстағы сессияның жалғасу себебі. Ағын орнатылған деп тіркелген соң, алдыңғы ережелер оның пакеттерін сіздің тыйымыңыз қаралмай тұрып қабылдайды, ал тасымалдау ештеңе өзгермегендей аяқталады. Сондықтан ашық қосылымды қайта пайдаланатын браузермен тестілеу жаңа саясат туралы ештеңе айтпайды. Тыйым енгізілгеннен кейін бірнеше минутта пайдасыз көрінуі, ал келесі қосылған пайдаланушы үшін толық тиімді болуы мүмкін.

Егер талап тікелей трафикті кесуді қамса, бұл пайдаланушы ережесін өзгерту оны бере алмайды. Бақыланатын күйді қайтарып алу — өз әсер ету радиусы бар жеке әрекет және ол ережені қосқан адамға емес, firewall иесіне тиесілі. Бір сессия жойылуы үшін шлюздегі барлық қосылымдарды тазалау — екінші оқиға тудыратын түзету түрі.

Шекараларды да ұмытпаңыз. Бұл ереже ICMP, UDP немесе IPv6 туралы ештеңе айтпайды, сондықтан сәтті ping тыйымның сәтсіздігіне дәлел емес. Бір IPv4 мекенжайы да веб-сайт емес: атау бірнеше мекенжайға шешілуі мүмкін, ал тек сіз атаған мекенжай ғана қамтылады.

Жаңа ағынмен тексеріңіз

Нөмірленген пайдаланушы ережелерін және тиімді шикі көріністі оқып, содан кейін таңдалған клиенттен жаңа қосылым ашыңыз:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Шикі көрініс маңызды, өйткені status қолмен жазылған қаңқа ережелерін қалдырып кетеді, сондықтан реттілік ядро қолданатыннан өзгеше көрінуі мүмкін. Ереже дұрыс емес жерде деп қорытынды жасамас бұрын екеуін салыстырыңыз.

Содан кейін ереженің кең емес, тар екенін дәлелдейтін екі бақылауды тексеріңіз: сол клиенттен рұқсат етілген мақсат әлі жұмыс істейді, ал екінші клиент саясаты рұқсат етсе, тыйым салынған мақсатқа әлі жетеді. Екі тестті де бұзатын тыйым — саясаттың өзгеруі, мақсатты шара емес.

Тест аяқталған соң тек өзіңіз қосқан ережені жойыңыз, оны дәл қайталап. Егер саясат тұрақты болса, оны firewall иесіне клиенттің жеке басымен, мақсат иесімен және тексеру күнімен бірге тапсырыңыз, сонда қайта тағайындалған туннель мекенжайы ескірген тыйымды қалдырмайды.

Қатысты мақалалар