Linux таратуусунун firewall'у VPN трафигиңизди бөгөттөй алат

Түннел көтөрүлөт, журнал туташкан деп жазат, бирок бир колдонмо дагы эле эч нерсеге жете албайт. Linux кардарында бул адатта таратуунун firewall'у VPN кардары эч качан башкарбаган жолду фильтрлеп жатканын билдирет. Эки менеджер бир убакта активдүү болушу мүмкүн, ар биринин интерфейс, зона жана трафиктин багыты тууралуу өз түшүнүгү бар. Бир нерсени оңдоодон мурун ээсин аныктоо бир нерсе иштегенге чейин эрежелерди сынап көрүүдөн тезирээк.

Менеджерди жана backend'ди табыңыз

Орнотулгандан эмес, чындыгында жүктөлгөндөн баштаңыз. Таратуу firewalld, ufw жана жөнөкөй nftables кызматын сунушташы мүмкүн, жана алардын бирөө гана иштеп жаткан эрежелер топтомуна ээ. Пакеттер тынч жанаша жашашат, ал эми туура эмес фронтенд аркылуу киргизилген эреже ядрого эч качан жетпейт. Активдүү кызматты окуңуз, анан ал түзгөн эрежелер топтомун окуңуз.

Backend фронтенд сыяктуу эле маанилүү. firewalld орнотуусу версия менен конфигурацияга жараша nftables же эски iptables backend'ин башкара алат, жана экөө ар башка текшерүү чыгышын берет. Системаңызды кандайдыр бир колдонмомен салыштыруудан мурун таратууну, версияны жана backend'ди билетке жазыңыз.

Багыт менен интерфейсти шайкештештириңиз

Чыгуучу кардар суранычы, кирүүчү угуучу жана өткөрүлгөн пакет ар башка илгичтерден өтөт, жана бирөө үчүн эреже калгандарын камтыбайт. Жергиликтүү LAN'га уруксат берген зона көбүнчө түннелдин интерфейсин же VPN дарек пулун камтыбайт. Түннелдин интерфейси адатта демейки зонага түшөт, ал көбүнчө физикалык адаптердин зонасынан катуураак. Бул шайкешсиздик LAN'да серептөөнүн эмне үчүн иштешин жана түннел көтөрүлгөн учурда эмне үчүн токтоорун түшүндүрөт.

Эреже тандаардан мурун кайсы багыт ишке ашпаганын сураңыз. Сыртка туташа албаган колдонмого чыгуу жолу керек, ал эми кирүүчү кызматка түннелдин интерфейсиндеги кирүү жолу керек. Туура эмес чынжырга эреже кошуу колдонулгандай көрүнгөн жана эч нерсе кылбаган өзгөртүү жаратат.

Эрежелердин ээлерин макулдашып кармаңыз

VPN кардарынын илгичи, контейнерлердин аткаруу чөйрөсү жана таратуунун кызматы тармакты өзгөртө алат, жана алар бири-бири менен координациялашпайт. Кол менен киргизилген эрежелер кийинки кайра жүктөөдө жоголот, ал эми менеджердин чынжырына кошулган эрежелер сиз ойлогон эмес тартипте бааланышы мүмкүн. Менеджердин туруктуу конфигурациясын колдонуп, жазган файлыңыздын ордуна алынган эрежелер топтомун текшериңиз. Бир кызмат жеткиликсиз болгондуктан бүт firewall'ду өчүрүү кичине маселени чоң маселеге алмаштырат.

Тар эсептегичтер четке кагылган агымды табуунун арзан жолу. Бир багыт жана бир порт менен чектелген журнал эрежеси башка бирөөнүн трафигин кармабастан таштоо жергиликтүү түрдө болуп жатканын көрсөтөт. Текшерүү бүткөндө журнал эрежесин алып салыңыз, анткени бул диагностика, саясат эмес, жана firewalld'дин зона документтери интерфейстер менен кызматтардын кантип айкалышканын түшүндүрөт.

Бекитүүнү жоготпостон түзөтүүнү текшериңиз

Колдонулган абалды ага ээ болгон менеджер менен текшериңиз, жазып алган backend'ге дал келген буйруктарды колдонуп. Төмөнкү тизме firewalld жооптуу деп болжолдойт; баарын иштетүүнүн ордуна nftables же ufw үчүн барабардыгын коюңуз. Бир сессияда куралдарды аралаштыруу машинанын эки карама-каршы эрежелер топтому менен калышына алып келет.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Биринчи буйрук зоналарды жана аларга дайындалган интерфейстерди атайт, бул түннелдин чындыгында кайда түшкөнүн көрсөтөт. Экинчиси зонанын эрежелерин жана кызматтарын басып чыгарат, ошентип VPN интерфейси таптакыр кампылганын көрө аласыз. nftables тизмеси колдонулуп жаткан backend үчүн негизги чындык, жана конфигурация файлында гана бар эреже ал жерде көрүнбөйт. Үч чыгышты кошкон эрежеңиз менен салыштырыңыз, жана шайкешсиздик адатта өзүнүн атын атайт.

Анан баштапкы суранычты жана талап кылган ийгиликсиздик жүрүм-турумун кайталаңыз. Жаңы иштеген сайт жетишсиз, эгер ошол эле өзгөртүү кардардын бекитүүсүн алып салса, ошондуктан корголбогон жолду да сынап көрүңүз. Менеджерди, backend'ди, интерфейсти жана эреженин максатын жазыңыз, анткени экинчи менеджерди тирилткен пакет жаңыртуу болбосо бүт башаламандыкты кайра курат.