Linux distribūcijas ugunsmūris var bloķēt jūsu VPN datplūsmu

Tunelis paceļas, žurnāls saka savienots, un viena lietotne joprojām neko nesasniedz. Linux klientā tas parasti nozīmē, ka distribūcijas ugunsmūris filtrē ceļu, kuru VPN klients nekad nav pārvaldījis. Divi pārvaldnieki var būt aktīvi vienlaikus, katram ir savs priekšstats par saskarni, zonu un datplūsmas virzienu. Īpašnieka noteikšana pirms kaut kā labošanas ir ātrāka nekā noteikumu izmēģināšana, līdz kaut kas sāk strādāt.

Atrodiet pārvaldnieku un backend

Sāciet ar to, kas faktiski ir ielādēts, nevis ar to, kas ir instalēts. Distribūcija var piegādāt firewalld, ufw un vienkāršu nftables pakalpojumu, un tikai viens no tiem pārvalda darbojošos noteikumu kopumu. Pakotnes mierīgi pastāv līdzās, un noteikums, kas ievadīts caur nepareizo priekšgalu, nekad nesasniedz kodolu. Izlasiet aktīvo pakalpojumu, pēc tam izlasiet tā radīto noteikumu kopumu.

Backend ir tikpat svarīgs kā priekšgals. firewalld instalācija var vadīt nftables vai veco iptables backend atkarībā no versijas un konfigurācijas, un abi dod atšķirīgu pārbaudes izvadi. Pirms savas sistēmas salīdzināšanas ar jebkuru rokasgrāmatu ierakstiet biļetenā distribūciju, versiju un backend.

Saskaņojiet virzienu un saskarni

Izejošs klienta pieprasījums, ienākošs klausītājs un pārsūtīta pakete šķērso dažādus āķus, un vienam paredzēts noteikums neaptver pārējos. Zona, kas atļauj vietējo LAN, bieži neietver tuneļa saskarni vai VPN adrešu kopu. Tuneļa saskarne parasti nolaižas noklusējuma zonā, kas bieži ir stingrāka par zonu, kurā atrodas fiziskais adapteris. Šī neatbilstība izskaidro, kāpēc pārlūkošana darbojas LAN un apstājas tajā mirklī, kad tunelis paceļas.

Pajautājiet, kurš virziens neizdevās, pirms izvēlaties noteikumu. Lietotnei, kas nevar savienoties uz āru, vajadzīgs izejas ceļš, savukārt ienākošam pakalpojumam vajadzīgs ieejas ceļš tuneļa saskarnē. Noteikuma pievienošana nepareizajai ķēdei rada izmaiņas, kas izskatās piemērotas un nedara absolūti neko.

Uzturiet noteikumu īpašniekus vienojušos

VPN klienta āķis, konteineru izpildes vide un distribūcijas pakalpojums visi var mainīt tīklu, un tie savā starpā nekoordinējas. Ar roku ievadīti noteikumi pazūd nākamajā pārlasē, un noteikumi, kas ievietoti pārvaldnieka ķēdē, var tikt novērtēti tādā secībā, kādu neesat paredzējis. Izmantojiet pārvaldnieka pastāvīgo konfigurāciju un pārbaudiet iegūto noteikumu kopumu, nevis failu, ko uzrakstījāt. Visas ugunsmūra atslēgšana tāpēc, ka viens pakalpojums nav sasniedzams, apmaina mazu problēmu pret lielu.

Šauri skaitītāji ir lēts veids, kā atrast noraidīto plūsmu. Reģistrēšanas noteikums, kas ierobežots ar vienu galamērķi un vienu portu, parāda, vai nomešana notiek lokāli, neķerot citu datplūsmu. Noņemiet reģistrēšanas noteikumu, kad izmeklēšana beidzas, jo tas ir diagnostika, nevis politika, un firewalld zonu dokumentācija izskaidro, kā saskarnes un pakalpojumi apvienojas.

Pārbaudiet labojumu, nezaudējot bloķēšanu

Pārbaudiet piemēroto stāvokli ar to pārvaldošo pārvaldnieku, izmantojot komandas, kas atbilst ierakstītajam backend. Tālāk esošais saraksts pieņem, ka atbildīgs ir firewalld; aizstājiet ar nftables vai ufw ekvivalentu, nevis palaidiet visus. Rīku sajaukšana vienā sesijā ir veids, kā mašīna nonāk pie diviem pretrunīgiem noteikumu kopumiem.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Pirmā komanda nosauc zonas un tām piešķirtās saskarnes, kas parāda, kur tunelis faktiski nolaižas. Otrā izdrukā zonas noteikumus un pakalpojumus, tāpēc varat redzēt, vai VPN saskarne vispār ir pārklāta. nftables saraksts ir pamata patiesība par izmantoto backend, un noteikums, kas pastāv tikai konfigurācijas failā, tur neparādās. Salīdziniet trīs izvades ar pievienoto noteikumu, un neatbilstība parasti pati sevi nosauc.

Pēc tam atkārtojiet sākotnējo pieprasījumu un prasīto atteices uzvedību. Nesen strādājoša vietne nav pietiekama, ja tas pats mainījums noņēma klienta bloķēšanu, tāpēc pārbaudiet arī neaizsargātu ceļu. Ierakstiet pārvaldnieku, backend, saskarni un noteikuma mērķi, jo pakotnes atjauninājums, kas atdzīvina otru pārvaldnieku, citādi visu jucekli uzcels no jauna.