Nei UFW-Regel, al Verbindung: den etabléierte Zoustand gewënnt

Eng Oflehnungsregel dobäizemaachen an ze gesinn, datt en oppenen Download weiderleeft, ass kee UFW-Fehler. D’Regel, déi Dir bäigemaach hutt, steet no Regelen, déi de Flux schonn acceptéiert hunn, an eng Verbindung, déi virdru etabléiert gouf, passt weiderhin op si. Dat ze fixéiere bedeit, op der richteger Plaz anzesetzen an ze verstoen, wat déi fréier Regelen verspriechen. Déi schmuel Versioun vun där Ännerung kënnt hei.

D’Reiefolleg entscheet, net d’Existenz vun der Regel

UFW ass eng Front-End, déi netfilter-Regelen a Stufen schreift: eng Kadersektioun, déi virun de Benotzerregelen leeft, dann d’Benotzerregele selwer, dann eng Sektioun, déi no hinnen leeft. D’Standard Virun-Regele akzeptéieren Traffic vun etabléierten a verbonnenen Verbindungen, an déi Regele ginn ausgewäert, ier eppes, wat Dir mat engem normale allow oder deny bäimécht, drun kënnt. D’UFW-Kommando-Referenz dokumentéiert d’Agesetzsyntax an d’nummeréiert Statusvue, op déi dës Ännerung sech stäipt.

Déi Reiefolleg erkläert d’Iwwerraschung. Är nei Regel ass real an se steet an der richtege Tabell, awer se ass net déi éischt Entscheedung, déi de Pakéit begéint. Eng Verbindung, déi schonn als etabléiert verfollegt gëtt, erreecht se ni.

Benotzt route-Regelen fir dës Aufgab, well de Pakéit duerch de Gateway weidergeleet gëtt, amplaz un de Gateway seng eege Servicer adresséiert ze sinn. Eng Input-Regel géif de falschen Traffic filteren an et ausgesinn, wéi wann se näischt mécht.

Setzt se iwwer d’breet Erlaabnis an

Kuckt d’Agesetzung als Virschau un, ier Dir se uwendt, a bestätegt, datt d’Regel net schonn an der Lëscht soss doruechter steet. Eng identesch Politik ze duplizéieren mécht d’spéider Ewechhuelen zweedeiteg, an deen, dee falsch Kopie ewechhëlt, mierkt et wochenlaang net.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Wann d’Virschau genee eng Regel op der erwaarter Plaz weist, wendt dee selwechte Kommando ouni den dry-run-Fändel un. Positioun 1 setzt se iwwer déi méi breet Benotzererlaabnisser, net iwwer d’Kaderregelen, déi virdru besprach goufen. Bestätegt, datt den Interface-Numm zum Tunnelgerät op dësem Gateway passt, well eng Regel, déi un en Interface gebonnen ass, deen et net méi gëtt, an der Lëscht sëtzt an korrekt ausgesäit, awer op näischt passt. Benennt d’Gerätreferenz ëm, ier Dir se uwent, net nodeems den Test feelgegraff huet.

An där Regel steet keng Destinatiounsport, dofir lehnt se all TCP-Port op där Adress of an net nëmmen HTTPS. Wann d’Absicht een eenzege Service ass, nennt d’Port; eng Regel, déi méi breet wéi d’Politik ass, ass en zukünftegen Tëschefall, dee säin éischte Lieser erwaart.

Beschränkt d’Quell nëmmen dann op eng eenzeg Adress, wann déi Adress un déi virgesinn Identitéit gebonnen ass. En VPN-Pool mat dynamescher Zouweisung kann déiselwecht Adress muer engem anere Client ginn, an d’Oflehnung géif der Adress nogoen an net der Persoun.

Etabléiert Flëss iwwerliewen déi nei Regel

D’Verbindungsverfollegung ass de Grond, firwat déi bestehend Sessoun weiderleeft. Soubal e Floss als etabléiert festgehale gëtt, akzeptéieren d’Virun-Regele seng Paketen, ier Är Oflehnung nach gekuckt gëtt, an den Transfer fäerdeg wéi wann sech näischt geännert hätt. Dofir seet en Test mat engem Browser, deen eng oppe Verbindung nei benotzt, Iech näischt iwwer déi nei Politik. Eng Oflehnung ka Minutten nom Rollout nëtzlos ausgesinn an fir den nächste Benotzer, dee sech verbënnt, komplett effektiv sinn.

Wann d’Ufuerderung d’Ofschneide vum live Traffic enthält, kann dës Benotzerregel-Ännerung dat net liwweren. Den Zoustand zréckzezéien ass eng separat Aktioun mat hirem eegenen Impaktradius, an se gehéiert dem Firewall-Besëtzer an net deem, deen d’Regel bäigemaach huet. All Verbindungen op engem Gateway eidel ze maachen, fir datt eng Sessoun verschwënnt, ass déi Aart vu Fix, déi en zweete Tëschefall produzéiert.

Denkt och un d’Grenzen. Dës Regel seet näischt iwwer ICMP, UDP oder IPv6, dofir ass e gelungenen Ping kee Beweis, datt d’Oflehnung versot huet. Eng eenzeg IPv4-Adress ass och keng Websäit: en Numm kann op méi Adressen opgeléist ginn, an nëmmen déi, déi Dir genannt hutt, ass ofgedeckt.

Testt mat engem frische Floss

Liest d’nummeréiert Benotzerregelen an déi effektiv ro Vue, an dann oppen eng nei Verbindung vum ausgewielte Client:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Déi ro Vue ass wichteg, well status Kaderregelen, déi vun Hand geschriwwe goufen, ewechléisst, dofir kann d’Reiefolleg anescht ausgesinn wéi dat, wat de Kernel duerchsetzt. Vergläicht déi zwee, ier Dir schléisst, datt eng Regel op der falscher Plaz steet.

Dann kontrolléiert déi zwee Kontrollen, déi beweisen, datt d’Regel schmuel an net breet ass: eng erlaabte Destinatioun vum selwechte Client funktionéiert nach, an en zweete Client erreecht déi ofgelehnt Destinatioun nach, wann seng Politik et erlaabt. Eng Oflehnung, déi béid Tester brécht, ass eng Politikännerung, keng gezilten Aktioun.

Wann den Test eriwwer ass, huelt nëmmen d’Regel ewech, déi Dir bäigemaach hutt, andeems Dir se genee widderhëlt. Wann d’Politik permanent ass, iwwergitt se dem Firewall-Besëtzer mat der Client-Identitéit, dem Besëtzer vun der Destinatioun an engem Revisiounsdatum, sou datt eng nei zougewisen Tunneladress keng veraltete Oflehnung hannerléisst.