ufw allow 443 VPN артындағы қызметке ештеңе істемеді

VPN клиентінен ping сәтті өтеді, TCP қызметі уақыт шегінен шығады, ал ufw allow 443/tcp ештеңені өзгертпейді. Қолданба шлюздің өзінде емес, шлюздің артындағы хостта жұмыс істегенде, бұл рұқсат дұрыс емес трафик жолына жазылған. Пакет брандмауэрге арналмаған және жергілікті процеске берілмейді, сондықтан кіріс ережелері оны ешқашан көрмейді. Түзету — қайта бағытталған ағынға бағытталған маршрут ережесі, ал оның дәлелі журналда әлдеқашан бар.

Межелі орынның жергілікті немесе қайта бағытталғанын анықтаңыз

Пакетті ядро көретіндей оқыңыз. Шлюздегі қызметке жеткізілетін трафик жергілікті кіріс болып табылады. Шлюз басқа хостқа қайта бағыттайтын трафик қайта бағытталған болып саналады, ал UFW екі жол үшін бөлек ереже жиынтығын ұстайды. Айырмашылықты межелі адрес пен маршрут іздеу анықтайды, пакет келген интерфейс емес.

IN және OUT өрістерінің екеуінде де бір интерфейсті көрсететін журнал жолы бәрібір маршрутталған пакетті сипаттауы мүмкін, өйткені клиенттерді бір құрылғыдан ішке және сыртқа тасымалдайтын туннель дәл осылай көрінеді. Межелі адрес бұл сұрақты интерфейс атауларынан тезірек шешеді. Бір атауды екі рет көру жергілікті жеткізуді дәлелдемейді, ал орналастыру ешқашан жасамаған туннель интерфейсін ойлап табу да көмектеспейді.

Кез келген ереже қоспас бұрын блокты оқыңыз

Бір рұқсат етілген қосылу әрекетін қайталап, оның көзін, межелі орнын, протоколын және межелі портын шлюз тіркегендей жазып алыңыз. Осы төрт мәнді журнал жазбасымен және қызметтің нақты орнымен салыстырыңыз. Бұрынғы сәтті ping тек өзінің айырбасына рұқсат берілгенін дәлелдейді, ал брандмауэр қолданбаға баратын TCP SYN-ді мүлде басқаша өңдеуі мүмкін.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Бірінші команда үкімді оның өрістерімен қайтарады, екіншісі недің әлдеқашан жүктелгенін және қандай ретпен екенін көрсетеді. Бірдеңені өңдеу алдында екеуін де оқыңыз, өйткені ережеңіздің үстіндегі бұрынғы тыйым жетіспейтін ережесіз де сол белгіні түсіндіреді.

Сәйкес келетін ең тар маршрут ережесін жазыңыз

Бұл мысалда клиенттер tun0-ге 172.20.8.0/24-тен келеді, қызмет 10.30.0.15-те 8443 портында тыңдайды, ал шлюз ens5 арқылы шығады. Бұл мәндер бұлттық VPC-нің әдепкі 10.0.0.0/16 немесе үй желісінің 192.168.0.0/16 мәніне мүлде ұқсамауы үшін таңдалды, ал 8443 мысалды шлюздің өз 443 тыңдаушысынан алыс ұстайды.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Сынақ жүргізу нәтижесінде пайда болатын ереже жиынтығын шығарады, және бұл ережеңіздің бар тыйымның алдына немесе артына түсетінін көрудің ең арзан жолы. Интерфейс атаулары мен ішкі адрестерді мысалға емес, орналастыруға қарсы тексеріп, межелі NAT бірінші іске қосылғанда сүзгі аударылған межені көретінін есте сақтаңыз.

Қайту жолын күймен ұстаңыз

UFW рұқсат етілген қосылымдарды қадағалайды, сондықтан рұқсат етілген қайта бағытталған ағынға жауаптар айқын кері ережесіз қабылданады. Іс жүргізу үшін қарама-қарсы бағытта шектеусіз ереже қосу саясатты бір қызметтен әлдеқайда кеңейтеді және қалыпты сұраныс-жауап айырбасы үшін қажет емес. Қайту жолын жасырын, ереже жиынтығын оқылатын күйде ұстаңыз.

Ережені сынақ жүргізу ниетіңізге сәйкес келгеннен кейін ғана қолданыңыз, содан кейін реттелген тізім оны күтілетін орында көрсететінін растаңыз. VPN тыңдаушысы мен басқару ережелерін бөлек мәселе ретінде сақтаңыз, өйткені оларды өзгерту бір қолданбаны жіберуден өзге шешім. Өзгерісті топология жазылған жерге жазып қойыңыз, келесі инженер оны пакет түсірілімінен қайта іздеуге мәжбүр болмас үшін.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

UFW сіздің орныңызға нені қамтамасыз ете алмайтынын тексеріңіз

Дұрыс ережеге әлі де ядро деңгейіндегі қайта бағыттау және қызметке жететін маршрут қажет. Брандмауэрді екінші рет кінәлау алдында екеуін де растаңыз.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Содан кейін хосттан тыс жерге қараңыз. Бұлттық данада қонақтың UFW саясаты қауіпсіздік топтарын, ішкі желі ACL-дерін немесе провайдердің өзіндік қайта бағыттау конфигурациясын алмастырмайды, сондықтан жергілікті блок бір қабат туралы дәлел, барлық басқа қабаттар қызметке рұқсат береді деген дәлел емес.

Брандмауэр қосулы күйде жаңа қосылымды сынап аяқтаңыз, рұқсат етілген көзден және қатысы жоқ көзден. UFW-ді өшіру бір командада белгіні жояды және дәлелді жояды, сондықтан ол бірінші емес, соңғы тәжірибе болуы керек.