Жаңы UFW эрежеси, эски туташуу: орнотулган абал жеңет

Тар чөйрөдөгү UFW маршрут тыюусу мурунку эрежелер кабыл алган трафикти өткөрүп жиберет. Аны кайда киргизүү керектигин жана орнотулган абал дагы эмнени өткөрөрүн караңыз.

Тыюу эрежесин кошуп, ачык жүктөө уланганын көрүү UFW катасы эмес. Сиз кошкон эреже агымды мурун эле кабыл алган эрежелерден кийин турат, ал эми мурун орнотулган туташуу аларга дал келе берет. Муну оңдоо үчүн туура жерге киргизип, мурунку эрежелер эмне убада кылаарын түшүнүү керек. Бул өзгөрүүнүн тар варианты төмөндө.

Эреженин бар-жогу эмес, тартип чечет

UFW — netfilter эрежелерин этап-этабы менен жазуучу алдыңкы бет: колдонуучу эрежелеринен мурун иштеген каркас бөлүгү, анан колдонуучу эрежелеринин өзү, анан алардан кийин иштеген бөлүк. Стандарттык мурунку эрежелер орнотулган жана байланыштуу туташуулардын трафигин кабыл алат, жана бул эрежелер кадимки allow же deny менен кошкон нерселердин баарынан мурун бааланат. UFW буйруктарынын колдонмосу киргизүү синтаксисин жана бул өзгөрүү көз каранды болгон номерленген абал көрүнүшүн документтештирет.

Ушул тартип таң калууну түшүндүрөт. Жаңы эрежеңиз чыныгы жана туура таблицада турат, бирок ал пакет жолуккан биринчи чечим эмес. Орнотулган деп көзөмөлдөнүп жаткан туташуу ага эч качан жетпейт.

Бул иш үчүн route эрежелерин колдонуңуз, анткени пакет дарбазанын өз кызматтарына адрестелбей, дарбаза аркылуу өткөрүлөт. Кирүү эрежеси туура эмес трафикти чыпкалап, эч нерсе кылбайт окшоп көрүнөр эле.

Кенен уруксаттын үстүнө киргизиңиз

Киргизүүнү колдоруңуздан мурун алдын ала көрүп, эреже тизмеде башка жерде мурун эле жок экенин ырастаңыз. Бирдей саясатты кайталоо кийинки алып салууну эки маанилүү кылат, ал эми туура эмес көчүрмөнү өчүргөн адам муну жумалар бою байкабайт.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Эгер алдын ала көрүү күтүлгөн жерде так бир эрежени көрсөтсө, ошол эле буйрукту dry-run желеги жок колдонуңуз. 1-орун аны кененирээк колдонуучу уруксаттарынын үстүнө коёт, мурун каралган каркас эрежелеринин үстүнө эмес. Интерфейстин аталышы бул дарбазадагы туннель түзмөгүнө дал келерин ырастаңыз, анткени мындан ары жок интерфейске байланган эреже тизмеде туруп туура көрүнөт, бирок эч нерсеге дал келбейт. Түзмөк шилтемесин колдоруңуздан мурун өзгөртүңүз, тест ийгиликсиз болгондон кийин эмес.

Бул эрежеде багыт порту жок, ошондуктан ал ошол даректеги HTTPS гана эмес, бардык TCP порттарын тыят. Эгер максат бир кызмат болсо, портту атаңыз; саясаттан кенен эреже — биринчи окурманын күткөн келечектеги окуя.

Булакты бир гана дарекке чектеңиз, эгер ал дарек көздөлгөн инсандыкка байланган болсо. Динамикалык бөлүштүрүүчү VPN пулу эртең ошол даректи башка кардарга бере алат, ал эми тыю адамды эмес, даректи ээрчийт.

Орнотулган агымдар жаңы эрежеден аман калат

Туташууларды көзөмөлдөө — учурдагы сессиянын уланышынын себеби. Агым орнотулган деп катталгандан кийин, мурунку эрежелер анын пакеттерин сиздин тыюуңуз каралганга чейин эле кабыл алат, ал эми өткөрүү эч нерсе өзгөрбөгөндөй бүтөт. Ошондуктан ачык туташууну кайра колдонгон браузер менен тесттөө жаңы саясат жөнүндө эч нерсе айтпайды. Тыю киргизилгенден бир нече мүнөттөн кийин пайдасыз көрүнүшү, ал эми кийинки туташкан колдонуучу үчүн толук натыйжалуу болушу мүмкүн.

Эгер талап тирүү трафикти кесүүнү камса, бул колдонуучу эрежесин өзгөртүү аны бере албайт. Көзөмөлдөнгөн абалды жокко чыгаруу — өзүнүн таасир радиусу бар өзүнчө аракет жана ал эрежени кошкон адамга эмес, firewall ээсине таандык. Бир сессия жоголушу үчүн дарбазадагы бардык туташууларды тазалоо — экинчи окуяны жараткан оңдоо түрү.

Чектерди да унутпаңыз. Бул эреже ICMP, UDP же IPv6 жөнүндө эч нерсе айтпайт, ошондуктан ийгиликтүү ping тыюнун ийгиликсиздигине далил эмес. Бир IPv4 дареги да веб-сайт эмес: ат бир нече дарекке чечилиши мүмкүн, ал эми сиз атаган гана дарек камтылат.

Жаңы агым менен текшериңиз

Номерленген колдонуучу эрежелерин жана натыйжалуу чийки көрүнүштү окуп, анан тандалган кардардан жаңы туташуу ачыңыз:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Чийки көрүнүш маанилүү, анткени status кол менен жазылган каркас эрежелерин калтырып кетет, ошондуктан тартип өзөк колдонгондон башкача көрүнүшү мүмкүн. Эреже туура эмес жерде деген жыйынтыкка келүүдөн мурун экөөнү салыштырыңыз.

Анан эреженин кенен эмес, тар экенин далилдеген эки көзөмөлдү текшериңиз: ошол эле кардардан уруксат берилген багыт дагы иштейт, ал эми экинчи кардар саясаты уруксат берсе, тыюу салынган багытка дагы жетет. Эки тестти тең бузган тыю — саясаттын өзгөрүшү, максаттуу чара эмес.

Тест бүткөндөн кийин өзүңүз кошкон эрежени гана алып салыңыз, аны так кайталап. Эгер саясат туруктуу болсо, аны firewall ээсине кардардын инсандыгы, багыт ээси жана карап чыгуу күнү менен өткөрүп бериңиз, ошондо кайра дайындалган туннель дареги эскирген тыюну калтырбайт.

Тектеш макалалар