ufw allow 443 VPN артындагы кызматка эч нерсе кылган жок

VPN кардарынан ping ийгиликтүү өтөт, TCP кызматы убакыт чегинен чыгат, ал эми ufw allow 443/tcp эч нерсени өзгөртпөйт. Колдонмо шлюздин өзүндө эмес, шлюздин артындагы хостто иштегенде, бул уруксат туура эмес трафик жолуна жазылган. Пакет брандмауэрге адрестелген эмес жана жергиликтүү процесс массасына берилбейт, ошондуктан кирүү эрежелери аны эч качан көрбөйт. Оңдоо — өткөрүлүүчү агымга багытталган маршрут эрежеси, жана анын далили журналда мурунтан эле бар.

Баралган жер жергиликтүүбү же өткөрүлүүчүбү экенин аныктаңыз

Пакетти ядро көргөндөй окуңуз. Шлюздеги кызматка жеткирилген трафик жергиликтүү кирүү болуп саналат. Шлюз башка хостко өткөргөн трафик өткөрүлүүчү болуп эсептелет, жана UFW эки жол үчүн өзүнчө эреже топтомун кармайт. Айырманы баралган дарек жана маршрут издөө аныктайт, пакет келген интерфейс эмес.

IN жана OUT талааларынын экөөндө тең бир интерфейсти көрсөткөн журнал сабы баары бир маршрутталган пакетти сүрөттөшү мүмкүн, анткени кардарларды бир түзмөктөн ичке жана сыртка ташыган туннель дал ушундай көрүнөт. Баралган дарек бул суроону интерфейс аттарына караганда тезирээк чечет. Бир атты эки жолу көрүү жергиликтүү жеткирүүнү далилдебейт, ал эми жайылтуу эч качан түзбөгөн туннель интерфейсин ойлоп табуу да жардам бербейт.

Ар кандай эреже кошуудан мурун блокту окуңуз

Бир уруксат берилген туташуу аракетин кайра жаратып, анын булагын, баралган жерин, протоколун жана баралган портун шлюз каттагандай жазып алыңыз. Бул төрт маанини журнал жазуусу менен жана кызматтын чыныгы орду менен салыштырыңыз. Мурунку ийгиликтүү ping өзүнүн алмашуусуна гана уруксат берилгенин далилдейт, ал эми брандмауэр колдонмого бараткан TCP SYNди таптакыр башкача иштетиши мүмкүн.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Биринчи буйрук өкүмдү анын талаалары менен кайтарат, экинчиси эмне мурунтан жүктөлгөнүн жана кандай тартипте экенин көрсөтөт. Бир нерсени оңдоодон мурун экөөнү тең окуңуз, анткени эрежеңиздин үстүндөгү мурунку тыюу жок болгон эрежесиз эле ошол эле белгини түшүндүрөт.

Туура келген эң кууш маршрут эрежесин жазыңыз

Бул мисалда кардарлар tun0 ге 172.20.8.0/24 тен келишет, кызмат 10.30.0.15 та 8443 портунда угат, ал эми шлюз ens5 аркылуу чыгат. Бул маанилер булуттук VPCнин демейки 10.0.0.0/16 же үй тармагынын 192.168.0.0/16 маанисине такыр окшобошу үчүн тандалган, жана 8443 мисалды шлюздин өзүнүн 443 угуучусунан алыс кармайт.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Сыноо жүргүзүү пайда боло турган эреже топтомун басып чыгарат, жана бул эрежеңиз бар тыюунун алдына же артына түшөрүн көрүүнүн эң арзан жолу. Интерфейс аттарын жана ички даректерди мисалга эмес, жайылтууга каршы текшерип, баралган жердин NATы биринчи иштегенде фильтр которулган даректи көрөт деп эсте сактаңыз.

Кайтуу жолун абал менен кармаңыз

UFW уруксат берилген туташууларды көзөмөлдөйт, ошондуктан уруксат берилген өткөрүлүүчү агымга жооптор ачык каршы эрежесинсиз кабыл алынат. Иштерди иштетүү үчүн карама-каршы багытта чектөөсүз эреже кошуу саясатты бир кызматтан алда канча кеңейтет жана кадимки суроо-жооп алмашуусу үчүн талап кылынбайт. Кайтуу жолун жашыруун, эреже топтомун окулуштуу кармаңыз.

Эрежени сыноо жүргүзүү ниетиңизге туура келгенден кийин гана колдонуңуз, анан иреттелген тизме аны күтүлгөн жерде көрсөтөрүн ырастаңыз. VPN угуучусун жана башкаруу эрежелерин өзүнчө маселе катары сактаңыз, анткени аларды өзгөртүү бир колдонмого уруксат берүүдөн башка чечим. Өзгөртүүнү топология жазылган жерге жазып коюңуз, кийинки инженер аны пакет жазуусунан кайра издешине туура келбеши үчүн.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

UFW сиздин ордуңузга эмнени аткара албастыгын текшериңиз

Туура эрежеге дагы эле ядро өткөрүүсү жана кызматка жеткен маршрут керек. Брандмауэрди экинчи жолу күнөөлөөдөн мурун экөөнү тең ырастаңыз.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Анан хосттон сырткары караңыз. Булуттук инстанцияда коноктун UFW саясаты коопсуздук топторун, ички тармактын ACLдерин же провайдердин өзүнүн өткөрүү конфигурациясын алмаштырбайт, ошондуктан жергиликтүү блок бир катмар жөнүндө далил, бардык башка катмарлар кызматка уруксат берет деген далил эмес.

Брандмауэр күйүк турганда жаңы туташууну сынап бүтүрүңүз, уруксат берилген булактан жана тиешеси жок булактан. UFWди өчүрүү бир эле буйрукта белгини алып салат жана далилди жок кылат, ошондуктан ал биринчи эмес, акыркы тажрыйба болушу керек.