UFW-Ausnam fir VPN, wann sech d’Endpunktadress ännert

De Client probéiert sech erëm ze verbannen an et geet näischt aus der Maschinn eraus, obwuel dee selwechte Profil lescht Woch nach funktionéiert huet. Den Endpunkt-Hostname léist sech elo op eng aner Adress op, an d’Ausgangsausnam nennt nach déi al. Déi eng eenzeg veroudert Erlaabnes genüügt, fir aus engem funktionéierende Kill Switch en Totalausfall ze maachen, an si ass an all Statusindikator um Desktop onsichtbar. D’Reparatur ass en kleine Aarbechtsfloss, net eng Ännerung vun enger Zeil.

Den Tunnel verbënnt sech erëm, duerno geet näischt eraus

Eng Ausgangsregel, déi eng Ziladress nennt, ass eng Momentopnam, an DNS-Antwerten sinn dat net. Wann de Provider eng Adress dréit, passt de Pak, deen de Client op de neie Peer schéckt, op näischt a gëtt vun der Standardblockade verworf. De Client mellt dann en Timeout, wat éischter no engem Serverproblem wéi no engem Firewallproblem kléngt.

D’Adress, déi eng ëffentlech Recherche zréckgëtt, festzehalen, léisst haut funktionéieren an hannerléisst muer futti. Dat ass eng eemoleg Ännerung, keng Ënnerhaltsrichtlinn.

Beschreif d’Ausnam, déi s du wierklech mengs

Fänk domat un, déi véier Wäerter opzeschreiwen, déi d’Regel brauch: den approuvéierten Endpunktnumm oder Adressesatz, den Transport, den Zilport an d’Interface, duerch déi de Pak erausgeet. All véier gehéieren zu der Erlaabnes, a jiddweree vun hinnen kann falsch sinn, während d’Regel nach plausibel ausgesäit. Eng Regel, déi bei dräi vun hinnen richteg ass, feelt genee esou wéi eng Regel, déi bei alle véier falsch ass. Schrief se op, ier s de de Befehl tipps, well eng Regel just esou gutt ass wéi d’Beschreiwung hannendrun.

Den Befehl hei drënner weist d’Form fir een IPv4-UDP-Endpunkt op engem Kabel-Uplink. Ersetz béid Wäerter duerch déi, déi s du géint d’Deployment verifizéiert hues.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Déi Erlaabnes erlaabt keng willkürlech Ziler op deemselwechte Port, erstellt keen Listener a deckt keen TCP of. D’UFW-Handbuchsäit beschreift, wéi Adress, Interface a Protokoll eng Regel enk maachen, an déi Enk ass de ganze Punkt.

Erneier se als een eenzege Aarbechtsfloss

Behandel d’Ausnam als eng Ressource mat engem Besëtzer an engem Iwwergang, net als e Befehl, un dee sech een erënnert. Kritt fir d’éischt e Kandidat aus dem eegene Resolver an dem Endpunktinventar vum Deployment, a bestëmm bewosst, wéi deen Numm opgeléist gëtt, ier den Tunnel existéiert. Validéier de Kandidat duerno géint de virgesiine Protokoll, Port an d’Adressfamill, ier s de de Reegelsaz beréiers.

Installéier fir d’éischt déi nei enk Erlaabnes a bestäteg, datt se gelueden ass, well de Client op eng Adress ze schécken, déi d’Firewall nach blockéiert, e Feeler erzeugt, deen wéi e Serverfeeler ausgesäit. Looss onverbonne Reegelen während der Ännerung onberéiert.

Beobacht den Iwwergang vum Client iwwer säi ënnerstëtzte Reconnect-Wee a bestäteg, wéi eng remote Adress en ausgewielt huet. Nëmmen DNS z’aktualiséieren beweegt keen existéierende Socket, an eng Astellung fir Endpunktpersistenz kann de Client nach laang um ale Peer halen, nodeems sech den Aschloss geännert huet.

Zum Schluss zitt d’veroudert Erlaabnes bewosst zréck, an erlaabt d’approuvéiert Iwwerlaafzäit, wärend eng al Sessioun nach aktiv ass. D’al Androhg ze fréi ewechhuelen erzeugt eng kuerz Ënnerbriechung; se fir ëmmer ze loossen hannerléisst eng Erlaabnes, déi keen erkläre kann.

Zitt déi al Erlaabnes bewosst zréck

D’Ewechhuelen ass do, wou de gréissten Deel vum Risiko läit, well déi al Regel dat eenzegt ass, wat am Moment funktionéiert. Wann d’Installatioun vum Kandidat feelgeschloen ass, fuert net weider an läscht net den Androhg, deen nach Traffic dréit. Wann d’Ewechhuelen selwer feelt, notéier d’veroudert Erlaabnes als veroudert, amplaz d’Politik als aktuell ze erklären.

Widderhuel déi ganz Iwwerpréiwung, wann den Uplink vun Ethernet op Wi-Fi wiesselt, wann den Transport sech ännert oder wann e Service iwwer verschidden Adressen dréit. Eng interfacespezifesch Regel soll no enger Netzwierkännerung ophalen ze passen, an dat Verhalen ass richteg, och wann et wéi eng Regressioun ausgesäit.

Beweis de Kontrakt duerno mat harmlosem Traffic. Den approuvéierten Endpunkt muss während der Installatioun erreechbar sinn, déi geschützt Applikatioun muss no der Verbindung funktionéieren, an onverbonnen direkten Traffic muss während enger Ënnerbriechung blockéiert bleiwen. Huet béid Adressfamillen an een bewosst feelgeschloenen Aktualiséierungsversuch dra mat, well eng Verbindung, déi no enger eenzeger Ännerung vun enger fixéierter Adress geléngt, keen vun deene Fäll beweist.