Linux platinimo ugniasienė gali blokuoti jūsų VPN srautą

Tunelis pakyla, žurnalas sako prisijungta, o viena programa vis tiek nieko nepasiekia. Linux kliente tai paprastai reiškia, kad platinimo ugniasienė filtruoja kelią, kurio VPN klientas niekada nevaldė. Du tvarkyklės gali būti aktyvūs vienu metu, kiekvienas turi savo nuomonę apie sąsają, zoną ir srauto kryptį. Savininko nustatymas prieš ką nors redaguojant yra greitesnis nei taisyklių bandymas, kol kažkas pradės veikti.

Raskite tvarkyklę ir backendą

Pradėkite nuo to, kas iš tikrųjų įkelta, o ne nuo to, kas įdiegta. Platinimas gali pateikti firewalld, ufw ir paprastą nftables tarnybą, ir tik viena iš jų valdo veikiančią taisyklių rinkinį. Paketai taikiai sugyvena, o taisyklė, įvesta per netinkamą priekinę dalį, niekada nepasiekia branduolio. Perskaitykite aktyvią tarnybą, tada perskaitykite jos sukurtą taisyklių rinkinį.

Backendas toks pat svarbus kaip priekinė dalis. firewalld diegimas gali valdyti nftables arba senąjį iptables backendą priklausomai nuo versijos ir konfigūracijos, ir abu duoda skirtingą patikros išvestį. Įrašykite platinimą, versiją ir backendą į bilietą prieš lygindami savo sistemą su bet kokiu vadovu.

Suderinkite kryptį ir sąsają

Išeinantis kliento užklausa, įeinantis klausytojas ir persiunčiamas paketas eina skirtingais kabliais, ir vienos taisyklė neapima kitų. Zona, leidžianti vietinį LAN, dažnai neapima tunelio sąsajos ar VPN adresų baseino. Tunelio sąsaja paprastai nusileidžia numatytojoje zonoje, kuri dažnai griežtesnė už zoną, kurioje yra fizinis adapteris. Šis neatitikimas paaiškina, kodėl naršymas veikia LAN tinkle ir sustoja tą akimirką, kai tunelis pakyla.

Paklauskite, kuri kryptis nepavyko, prieš pasirinkdami taisyklę. Programai, kuri negali prisijungti į išorę, reikia išėjimo kelio, o įeinančiai tarnybai reikia įėjimo kelio tunelio sąsajoje. Taisyklės pridėjimas prie netinkamos grandinės sukuria pokytį, kuris atrodo pritaikytas ir nieko visiškai nedaro.

Laikykite taisyklių savininkus sutarusius

VPN kliento kablys, konteinerių vykdymo aplinka ir platinimo tarnyba gali visi keisti tinklą, ir jie tarpusavyje nesuderina veiksmų. Ranka įvestos taisyklės išnyksta kitą kartą įkeliant, o taisyklės, įterptos į tvarkyklės grandinę, gali būti vertinamos tokia tvarka, kurios neketinote. Naudokite nuolatinę tvarkyklės konfigūraciją ir tikrinkite gautą taisyklių rinkinį, o ne failą, kurį parašėte. Visos ugniasienės išjungimas dėl to, kad viena tarnyba nepasiekiama, keičia mažą problemą į didelę.

Siauri skaitikliai yra pigus būdas rasti atmestą srautą. Registravimo taisyklė, apribota viena paskirties vieta ir vienu prievadu, parodo, ar atmetimas vyksta vietiškai, negaunant kitų srauto. Pašalinkite registravimo taisyklę, kai tyrimas baigsis, nes tai diagnostika, o ne politika, ir firewalld zonų dokumentacija paaiškina, kaip derinamos sąsajos ir tarnybos.

Patikrinkite pataisą neprarasdami užrakinimo

Patikrinkite pritaikytą būseną su ja valdančia tvarkykle, naudodami komandas, atitinkančias įrašytą backendą. Toliau pateiktas sąrašas daro prielaidą, kad atsakinga firewalld; pakeiskite nftables arba ufw atitikmeniu, o ne vykdykite visus. Įrankių maišymas vienoje sesijoje yra būdas, kuriuo mašina atsiduria su dviem prieštaraujančiais taisyklių rinkiniais.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Pirmoji komanda įvardija zonas ir joms priskirtas sąsajas, o tai parodo, kur tunelis iš tikrųjų nusileido. Antroji išspausdina zonos taisykles ir tarnybas, kad matytumėte, ar VPN sąsaja išvis padengta. nftables sąrašas yra pagrindinė tiesa apie naudojamą backendą, o taisyklė, egzistuojanti tik konfigūracijos faile, ten nepasirodo. Palyginkite tris išvestis su pridėta taisykle, ir neatitikimas paprastai pats save įvardija.

Tada pakartokite pradinę užklausą ir reikalaujamą gedimo elgseną. Naujai veikianti svetainė nepakanka, jei tas pats pakeitimas pašalino kliento užrakinimą, todėl išbandykite ir neapsaugotą kelią. Užrašykite tvarkyklę, backendą, sąsają ir taisyklės paskirtį, nes paketo atnaujinimas, atgaivinantis antrą tvarkyklę, kitu atveju vėl pastatys visą netvarką.