Eng Firewall vun enger Linux-Distributioun kann Äre VPN-Traffic blockéieren

Den Tunnel kënnt erop, de Log seet verbonnen, an eng Applikatioun kann nach ëmmer näischt erreechen. Op engem Linux-Client heescht dat meeschtens, datt d'Firewall vun der Distributioun e Wee filtert, deen de VPN-Client ni geréiert huet. Zwee Manager kënnen zur selwechter Zäit aktiv sinn, jidderee mat sengen eegene Virstellungen iwwer d'Interface, d'Zone an d'Richtung vum Traffic. Den Eegentemer ze bestëmmen, ier een eppes ännert, ass méi séier wéi Reegelen ze probéieren, bis eppes funktionéiert.

Fannt de Manager an de Backend

Fänkt mat deem un, wat tatsächlech gelueden ass, net mat deem, wat installéiert ass. Eng Distributioun kann firewalld, ufw an en einfachen nftables-Service matbréngen, an nëmmen een dovun besëtzt de lafende Reegelsatz. D'Pakete liewen friddlech niefteneen, an eng Reegel, déi iwwer de falschen Frontend aginn gouf, erreecht ni de Kernel. Liest den aktiven Service, a liest dann de Reegelsatz, deen en erstallt huet.

De Backend ass grad esou wichteg wéi de Frontend. Eng firewalld-Installatioun kann nftables oder de ale iptables-Backend undreiwen, jee no Versioun a Konfiguratioun, an déi zwee produzéieren ënnerschiddlech Inspektiounsausgaben. Schreift d'Distributioun, d'Versioun an de Backend an den Ticket, ier Dir Äre System mat enger Guide vergläicht.

Passt d'Richtung an d'Interface un

Eng ausgänglech Client-Ufro, en agehende Lauschterer an e weidergeleet Paket ginn duerch verschidde Krécken, an eng Reegel fir een deckt déi aner net of. Eng Zone, déi de lokalen LAN erlaabt, enthält dacks net d'Tunnel-Interface oder de VPN-Adresspool. Eng Tunnel-Interface lant meeschtens an der Standardzone, déi dacks méi streng ass wéi d'Zone, an där den physeschen Adapter sëtzt. Dës Disharmonie erkläert, firwat d'Surfen am LAN funktionéiert an de Moment ophält, wéi den Tunnel eropkënnt.

Frot, wéi eng Richtung versot huet, ier Dir eng Reegel auswielt. Eng Applikatioun, déi net no bausse ka verbannen, brauch de Ausgangswee, wärend en agehende Service de Banneswee op der Tunnel-Interface brauch. Eng Reegel an déi falsch Kette bäisetzen produzéiert eng Ännerung, déi ugewannt ausgesäit an iwwerhaapt näischt mécht.

Hält d'Reegeleegentemer an Iwwereneestëmmung

De Kréck vun engem VPN-Client, eng Container-Laufzäit an de Service vun der Distributioun kënnen all d'Netzwierk änneren, a si koordinéiere sech net mateneen. Reegelen, déi vun Hand agi sinn, verschwannen beim nächsten Neilaascht, a Reegelen, déi an d'Kette vun engem Manager agefouert goufen, kënnen an enger Rei evaluéiert ginn, déi Dir net virgesinn hat. Benotzt déi dauerhaft Konfiguratioun vum Manager an inspizéiert de resultéierende Reegelsatz amplaz vun der Datei, déi Dir geschriwwen hutt. D'ganz Firewall ausschalten, well een Service net erreechbar ass, tauscht e klengt Problem géint e grousst.

Schmuel Comptoire sinn de bëllegen Wee, de verworfene Floss ze fannen. Eng Log-Reegel, déi op een Zil an ee Port begrenzt ass, weist, ob de Verwerf lokal geschitt, ouni dem anere säin Traffic ze fänken. Huet d'Log-Reegel ewech, wann d'Enquête fäerdeg ass, well se Diagnostik an net Politik ass, an d'Zonendokumentatioun vu firewalld erkläert, wéi Interface an Service sech kombinéieren.

Kontrolléiert d'Reparatur, ouni d'Spär ze verléieren

Inspizéiert den ugewannte Zoustand mam Manager, deen en huet, an benotzt Kommandoen, déi zum ageschriwwene Backend passen. D'Lëscht hei drënner geet dovun aus, datt firewalld zoustänneg ass; ersetzt se duerch d'Äquivalent fir nftables oder ufw, amplaz se all auszeféieren. Instrumenter an enger Sitzung ze mëschen ass de Wee, wéi eng Maschinn mat zwee widerspriechleche Reegelsätz hält.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Den éischte Kommando nennt d'Zone an d'Interface, déi hinnen zougewisen sinn, wat weist, wou den Tunnel tatsächlech gelant ass. Den zweeten dréckt d'Reegelen an d'Servicer vun enger Zone aus, sou datt Dir gesitt, ob d'VPN-Interface iwwerhaapt ofgedeckt ass. D'nftables-Lëscht ass d'Grondwahrheet fir de benotzte Backend, an eng Reegel, déi nëmmen an enger Konfiguratiounsdatei existéiert, erschéngt do net. Vergläicht déi dräi Ausgaben mat der Reegel, déi Dir bäigefüügt hutt, an d'Disharmonie nennt sech meeschtens selwer.

Widderhëlt dann d'Originalufro an de Fehlverhalen, deen Dir verlaangt. Eng nei funktionéierend Säit ass net genuch, wann déiselwecht Ännerung d'Spär vum Client ewechgeholl huet, also test och en ongeschützte Wee. Notéiert de Manager, de Backend, d'Interface an den Zweck vun der Reegel, well e Pakupdate, deen en zweeten Manager erëm erwächt, soss de ganzen Duercherneen erëm opbaut.