ufw allow 443 huet engem Service hannert dem VPN näischt bruecht

Ping geet duer vun engem VPN-Client, den TCP-Service leeft an den Timeout, an ufw allow 443/tcp ännert guer näischt. Wann d'Applikatioun op engem Host hannert dem Gateway leeft an net um Gateway selwer, gouf déi Erlaabnes fir dee falschen Trafikswee geschriwwen. De Paket ass net un de Firewall adresséiert a gëtt kengem lokale Prozess iwwerginn, dofir gesinn d'Input-Regelen en ni. D'Reparatur ass eng Route-Regel, déi op de weidergeleet Flux zilt, an de Beweis dofir steet schonn am Log.

Entscheet, ob d'Destinatioun lokal oder weidergeleet ass

Liest de Paket sou wéi de Kernel en gesäit. Trafik, dee an e Service um Gateway geliwwert gëtt, ass lokalen Input. Trafik, deen de Gateway op en aneren Host weiderleet, ass weidergeleet, an UFW hält getrennte Regel-Sets fir déi zwee Weeër. Den Ënnerscheed entscheeden d'Destinatiounsadress an d'Routensich, net de Interface, op deem de Paket ukomm ass.

Eng Logzeil, déi dee selwechten Interface an de Felder IN an OUT weist, kann nach ëmmer ee geroutete Paket beschreiwen, well en Tunnel, deen d'Clienten an engem eenzegen Apparat eran an eraus dréit, genau esou ausgesäit. D'Destinatiounsadress léist d'Fro méi séier wéi d'Interface-Nimm. Dee selwechten Numm zweemol ze gesinn beweist keng lokal Liwwerung, an en Tunnel-Interface ze erfinden, deen d'Deployment ni ugeluecht huet, hëlleft och net.

Liest de Block, ier Dir eng Regel dobäi setzt

Reproduzéiert een autoriséierte Verbindungsversuch a festhalen seng Quell, Destinatioun, Protokoll an Destinatiounsport sou wéi de Gateway se festgehalen huet. Vergläicht déi véier Wäerter mam Log-Andrag an mat der tatsächlecher Plaz vum Service. E fréiere gelungenen Ping beweist just, datt säin eegenen Austausch erlaabt war, an eng Firewall kann en TCP SYN Richtung Applikatioun ganz anescht behandelen.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Den éischte Kommando gëtt de Verdikt mat senge Felder zréck, an den zweete weist, wat schonn gelueden ass a wéi engem Uerdnung. Liest béid, ier Dir eppes ännert, well eng fréier Oflehnung iwwer Ärer Regel dee selwechte Symptom erkläert ouni eng fehlend Regel.

Schreift déi engst Route-Regel, déi passt

An dësem Beispill kommen d'Clienten op tun0 vun 172.20.8.0/24, de Service lauschtert op 10.30.0.15 op Port 8443, an de Gateway geet duerch ens5 eraus. Déi Wäerter goufen erausgesicht, fir guer net wéi e Cloud-VPC-Standard vun 10.0.0.0/16 oder en Heemnetz vun 192.168.0.0/16 auszegesinn, an 8443 hält d'Beispill wäit vum eegene 443-Lauschterer vum Gateway.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Den Dry-Run dréckt de Regel-Set of, deen entstoe géif, an dat ass dee bëllegste Wee ze gesinn, ob Är Regel virun oder hannert enger existéierender Oflehnung landt. Kontrolléiert d'Interface-Nimm an déi bannenzeg Adressen géint d'Deployment an net géint d'Beispill, a vergiesst net, datt de Filter, wann d'Destinatiouns-NAT fir d'éischt leeft, déi iwwersat Destinatioun gesäit.

Hält de Réckwee stateful

UFW verfollegt erlaabt Verbindungen, dofir ginn d'Äntwerten op e erlaabte weidergeleet Flux ouni eng explizit ëmgedréint Regel zougelooss. Eng onbeschränkt Regel an der Géigendriichtung dobäizesetzen, fir datt d'Saachen funktionéieren, erweidert d'Politik wäit iwwer deen eenzege Service eraus an ass fir en normale Ufro-Antwert-Austausch net néideg. Hält de Réckwee implizit an de Regel-Set liesbar.

Wend d'Regel eréischt un, wann den Dry-Run Ärer Absicht entsprécht, a bestätegt dann, datt déi geuerdnet Lëscht se op der erwaart Plaz weist. Hält de VPN-Lauschterer an d'Verwaltungsregelen als getrennt Saachen, well se z'änneren eng aner Entscheedung ass wéi eng Applikatioun eranzeloossen. Nottéiert d'Ännerung do, wou d'Topologie opgeschriwwen ass, sou datt den nächsten Ingenieur se net aus enger Paketopnam erëm entdecke muss.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Kuckt, wat UFW net fir Iech duerchsetze kann

Eng korrekt Regel brauch nach ëmmer Kernel-Weiderleedung an eng Route, déi de Service erreecht. Bestätegt béid, ier Dir de Firewall eng zweet Kéier beschëllegt.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Kuckt duerno baussen dem Host. Op enger Cloud-Instanz ersetzt d'UFW-Politik vum Gaascht keng Sécherheetsgruppen, Subnet-ACLen oder d'Weiderleedungskonfiguratioun vum Provider selwer, dofir ass e lokale Block e Beweis iwwer eng Schicht an net de Beweis, datt all aner Schicht de Service erlaabt.

Schléisst of, andeems Dir eng nei Verbindung mat ageschaltem Firewall test, vun enger erlaabter Quell an vun enger déi näischt domat ze dinn huet. UFW auszeschalten hëlt de Symptom ewech a zerstéiert de Beweis am selwechte Kommando, dofir sollt et dat lescht Experiment sinn an net dat éischt.