Blockéiert den Nout-Schalter vum UFW Äre VPN? Erlaabt de Peer

Dir hutt d'Checklëscht befollegt: erausgehend verbidden, den Tunnel erlaben, ufw aschalten. Duerno waart de Client um Handshake a verbënnt ni, oder en verbënnt a keng Säit luedt. Béid Feeler kommen aus demselwe Spalt. D'Regel, déi den Tunnel existéiere léisst, feelt, well den Tunnel ass keen Interface, duerch deen Är Paketen erausginn.

Firwat eng Erlaabnes op tun0 am Ufank näischt entsprécht

tun0 gëtt vum Client ugeluecht, nodeems eng Sessioun existéiert. D'Datagramme, déi déi Sessioun opbauen, si gewéinlech UDP-Paketen, déi un de Provider op Port 1194 adresséiert sinn, an si ginn iwwer wlan0 oder eth0 mat der physescher Quelladress eraus. allow out on tun0 entsprécht nëmmen dem Verkéier, deem säin erausgehenden Interface tun0 ass, also wärend dem Handshake entsprécht et guer näischt.

Setzt default deny outgoing drop an déi baussenzeg Pakete ginn verworf, ier den Interface iwwerhaapt erschéngt. De Client probéiert nach eng Kéier, leeft an en Timeout a mellt en TLS- oder Handshake-Fehler, wat d'Leit duerch Zertifikater an MTU sichen léisst, wärend d'Firewall d'Verbindung stëll fresst. D'Regel, déi Äre Verkéier sollt abannen, verhënnert, datt dëse Verkéier agebonne gëtt.

De Reflex-Fix mécht d'Lach permanent. sudo ufw allow out on wlan0, oder de Standard zréck op erlaaben ze setzen, hieft den Tunnel an a léisst d'Maschinn ouni Nout-Schalter: d'nächst Kéier wann den Tunnel fält, geet alles iwwer den physeschen Adapter weider. Ech hunn en Nomëtteg genau op dee Paar Ännerunge verluer, ier ech erausfonnt hunn, wéi e Paket ech tatsächlech filteren.

Wat déi zwou Sätz Pakete brauchen

Äre Verkéier kräizt d'Firewall zweemol, an zwou Formen. Déi bannenzeg Paket geet vun der Tunneladress eraus duerch tun0. Déi baussenzeg Paket geet vun der physescher Adress zum Peer, an et ass dat eenzegt, wat um Kabel ze gesinn ass. Eng Regel pro Form:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Ersetzt d'Adress an de Port duerch déi aus Ärem eegene Profil. WireGuard-Peers äntweren normalerweis op 51820/udp; OpenVPN-Profiler, déi iwwer TCP 443 lafen, brauchen dee Port amplaz. D'Detailer ënnerscheede sech, d'Form net: béid Regele si schmuel, an zesummen definéieren se déi eenzeg Destinatiounen, déi d'Maschinn erreeche kann, wärend den Tunnel ënnen ass.

D'Reiefolleg ass den zweete Mythos. Mat rauem iptables liest Dir d'Kette vun uewen no ënnen a iwwerleet, wéi eng Regel gewënnt. ufw ass keng dënn Hülle ronderëm d'Lëscht, déi Dir getippt hutt; et kompiléiert Är Regele an seng eege Ketten a wielt d'Insetzpunkten. ufw status dréckt se an der Reiefolleg vum ufw, net an Ärer. Wann eng Regel ignoréiert ausgesäit, vergläicht ufw show added mam kompiléierte Saz aus iptables -S | grep ufw ier Dir eppes ëmschreift.

D'Ausnam muss eng Adress breet bleiwen

Eng Peer-Regel ass nëmme richteg, soulaang se d'Adress nennt, déi de Client uwielt. Provider rotéieren Endpunkten, an e Profil, deen en Hostnumm opléist, wäert enger DNS-Ännerung op eng nei Adress follegen, wärend d'Regel weider op déi al weist. Wann en Tunnel, dee Méint laang funktionéiert huet, net méi eropkënnt, vergläicht d'Adress an der Regel mat där, déi de Client sicht, ier Dir eppes verbreedert.

Verbreederen op en ganzt Subnetz, oder op all Destinatioun um Port 1194, mécht d'Politik erëm eng Firewall mat engem Lach. D'Ausnam ass den Nout-Schalter; soubal en breet ass, bleift näischt méi ze schalten. Hält en op enger eenzeger Adress a loosst e Kommentar, deen de Profil an de Provider nennt, zu deem en gehéiert, well a sechs Méint wäert d'Adress wëllkëreg ausgesinn.

Nummopléisung verdéngt seng eege Linn. D'Ufro geschitt, ier den Tunnel existéiert, iwwer de physeschen Interface, also kann eng strikt Erausgehend-verbidden-Politik de Client onfäeg loossen, säin eegene Server ze fannen. Erlaabt Port 53 op d'Adress vun Ärem Resolver, oder léist eng Kéier op a fixéiert d'Adress am Profil. DNS op all Interface erlaben ass eng Entscheedung, net e Standard.

Baut d'Politik, ier den Tunnel gebraucht gëtt

ufw enable setzt d'ganz Politik op eemol ëm a lued seng Ketten nei, an eng Standardpolitik op enger lafender Firewall z'änneren lued se och nei. Den ufw-Handbuch warnt, datt dëst bestoend Verbindungen wéi SSH ka fale loossen. Dofir ginn d'Befehler an dëser Reiefolleg, mat der SSH-Regel virum Aschalten an enger oppener Konsolsëtzung:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset ass bewosst aus deem Block erausgelooss. Et läscht all Regel an deaktivéiert d'Firewall, an op engem entfernten Host ass dat folgend Aschalten dat, wat Är Sëtzung fält. Wann Dir awer zrécksetzt, füügt d'SSH-Regel derbäi a bestätegt en zweete Wee erëm iwwer eng Konsol, ier Dir weidergeet.

D'Reiefolleg ass net kosmetesch. Reegelen, déi derbäigesat ginn, wärend ufw leeft, spülen näischt, awer am Moment, wou Dir eng Standardpolitik ëmdréit, lueden d'Ketten nei, an eng Sëtzung, déi déi al Politik erlaabt huet, geet mat hinnen. Maacht d'Standarden, d'Erlaabnessen an d'Aschalten an engem Duerchgang, soulaang Dir nach e Wee erage hutt, deen net vun der Maschinn ofhänkt.

Test den ageschlossenen Zoustand, a behält de Réckwee

En ongeteste Nout-Schalter ass eng Vermutung. Trennt de Client bewosst of a probéiert eng Säit ze lueden: et muss fehlschloen. Verbënnt erëm, an et muss sech erhuelen, ouni eng Regel ze beréieren. sudo ufw status verbose bestätegt d'Standarden an den Zoustand vum Logging, an ufw status numbered weist, wéi eng Testregel ze läschen ass, wann se hiren Zweck iwwerlieft.

Hält de Géigendeel-Skript nieft dem Virulechtungsskript. Eng Maschinn mat Erausgehend-verbidden an engem doudegen Tunnel kann hir eege Reparatur net eroflueden, dofir muss de Réckwee op der Plack leien a vun enger Konsol liesbar sinn:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Féiert en aus, wann den Tunnel schonn ënnen ass an d'Reegelen erof mussen, net als Routine-Schrëtt. Ier Dir den Terminal zoumaacht, sollten véier Saachen halen: d'Peer-Regel nennt genee eng Adress, DNS huet eng genannt Ausnam, d'Aschalten koum no den Erlaabnessen, an den Tunnel ze zéien ëmbréngt gewéinleche Verkéier, ouni de Client fir ëmmer ëmzebréngen.