Соңғы нүкте мекенжайы өзгергендегі VPN үшін UFW ерекшелігі

Клиент қайта қосылуға тырысады және машинадан ештеңе шықпайды, бірақ сол профиль өткен аптада жұмыс істеген. Соңғы нүктенің хост атауы енді басқа мекенжайға шешіледі, ал шығыс ерекшелігі әлі ескісін атайды. Осы бір ескірген рұқсат жұмыс істеп тұрған kill switch-ті толық үзіліске айналдыруға жетеді және ол жұмыс үстелі көрсететін кез келген күй индикаторында көрінбейді. Түзету — бір жолды өзгерту емес, шағын жұмыс ағыны.

Туннель қайта қосылады, содан кейін ештеңе шықпайды

Межелі мекенжайды атайтын шығыс ережесі — бұл лездік сурет, ал DNS жауаптары олай емес. Провайдер мекенжайды айналдырғанда, клиенттің жаңа peer-ға жіберетін пакеті ештеңеге сәйкес келмейді және әдепкі тыйыммен тасталады. Содан кейін клиент уақыттың біткені туралы хабарлайды, бұл firewall емес, сервер мәселесіне ұқсайды.

Ашық іздеу қайтаратын мекенжайды бекіту бүгінді істетеді де, ертеңді бұзылған күйде қалдырады. Бұл бір реттік түзету, қызмет көрсету саясаты емес.

Шынымен көздеген ерекшелігіңізді сипаттаңыз

Ережеге қажет төрт мәнді жазудан бастаңыз: мақұлданған соңғы нүкте атауы немесе мекенжайлар жиыны, тасымал, межелі порт және пакет шығатын интерфейс. Төртеуі де рұқсаттың бөлігі және олардың кез келгені қате болуы мүмкін, ал ереже әлі де сенімді көрінеді. Үшеуінде дұрыс ереже төртеуінде қате ереже сияқты сәтсіздікке ұшырайды. Оларды әмірді теруден бұрын жазып қойыңыз, өйткені ереже артындағы сипаттама қаншалықты жақсы болса, соншалықты жақсы.

Төмендегі әмір сымды uplink-тегі бір IPv4 UDP соңғы нүктесі үшін пішімді көрсетеді. Екі мәнді де орналастыруға қарсы тексерген мәндеріңізбен ауыстырыңыз.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Бұл рұқсат сол порттағы ерікті межелерге рұқсат бермейді, тыңдаушы жасамайды және TCP-ны қамтымайды. UFW нұсқаулық беті мекенжай, интерфейс және протокол ережені қалай тарылтатынын сипаттайды, ал дәл сол тарылту — бүкіл мәселе.

Оны бір жұмыс ағыны ретінде жаңартыңыз

Ерекшелікке иесі мен ауысуы бар ресурс ретінде қараңыз, біреу орындауды есте сақтайтын әмір ретінде емес. Алдымен орналастырудың өз шешушісі мен соңғы нүктелер тізімінен үміткер алыңыз және туннель пайда болмай тұрып бұл атаудың қалай шешілетінін әдейі анықтаңыз. Содан кейін ережелер жиынына тимес бұрын үміткерді көзделген протокол, порт және мекенжайлар отбасына қарсы тексеріңіз.

Алдымен жаңа тар рұқсатты орнатып, оның жүктелгенін растаңыз, өйткені клиенттен firewall әлі бөгеп тұрған мекенжайды пайдалануды сұрау сервер ақауына ұқсайтын сәтсіздік тудырады. Өзгеріс кезінде қатысы жоқ ережелерді тимей қалдырыңыз.

Клиенттің қайта қосылу жолы арқылы ауысуын бақылап, қай алыс мекенжайды таңдағанын растаңыз. Тек DNS-ті жаңарту бар socket-ті жылжытпайды, ал соңғы нүктенің тұрақтылық параметрі жазба өзгергеннен кейін де клиентті ескі peer-да ұзақ ұстауы мүмкін.

Соңында ескірген рұқсатты әдейі алып тастаңыз, ескі сессия әлі белсенді болғанда мақұлданған қабаттасу терезесіне рұқсат беріңіз. Ескі жазбаны тым ерте жою қысқа үзіліс береді; оны мәңгі қалдыру ешкім түсіндіре алмайтын рұқсат қалдырады.

Ескі рұқсатты әдейі алып тастаңыз

Жою — тәуекелдің көп бөлігі шоғырланған жер, өйткені ескі ереже қазір жалғыз жұмыс істеп тұрған нәрсе. Егер үміткерді орнату сәтсіз болса, жалғастырмаңыз және әлі трафик тасымалдайтын жазбаны жоймаңыз. Егер жоюдың өзі сәтсіз болса, саясатты ағымдағы деп жариялаудың орнына ескірген рұқсатты ескірген деп жазыңыз.

Uplink Ethernet-тен Wi-Fi-ға ауысқанда, тасымал өзгергенде немесе қызмет бірнеше мекенжай бойынша айналғанда бүкіл шолуды қайталаңыз. Интерфейске тән ереже желі өзгергеннен кейін сәйкестікті тоқтатуы керек және бұл мінез-құлық регрессия болып көрінсе де дұрыс.

Содан кейін шартты зиянсыз трафикпен дәлелдеңіз. Мақұлданған соңғы нүкте орнату кезінде қолжетімді болуы керек, қорғалған қолданба қосылғаннан кейін жұмыс істеуі керек, ал қатысы жоқ тікелей трафик үзіліс кезінде бөгелген күйде қалуы керек. Екі мекенжайлар отбасын және әдейі сәтсіз болған бір жаңарту әрекетін қосыңыз, өйткені бекітілген мекенжайдың бір түзетуінен кейін сәтті болған қосылым осы жағдайлардың ешқайсысын дәлелдемейді.