UFW izņēmums VPN, kad mainās galapunkta adrese

Klients mēģina atkārtoti savienoties, un no mašīnas nekas neiziet, lai gan tas pats profils darbojās pagājušajā nedēļā. Galapunkta resursdatora vārds tagad atrisinās citā adresē, un izejošais izņēmums joprojām nosauc veco. Šī vienīgā novecojusī atļauja ir pietiekama, lai strādājošu kill switch pārvērstu pilnīgā pārtraukumā, un tā nav redzama nevienā darbvirsmas statusa rādītājā. Labojums ir neliela darbplūsma, nevis vienas rindas izmaiņa.

Tunelis atkal savienojas, un tad nekas neiziet

Izejošais noteikums, kas nosauc galamērķa adresi, ir momentuzņēmums, un DNS atbildes nav. Kad pakalpojumu sniedzējs pagriež adresi, pakete, ko klients sūta uz jauno peer, neatbilst nekam un tiek nomesta pēc noklusējuma aizlieguma. Pēc tam klients ziņo par taimautu, kas izklausās pēc servera, nevis ugunsmūra problēmas.

Adreses fiksēšana, ko atgriež publisks vaicājums, liek šodienai strādāt un atstāj rītdienu salauztu. Tā ir vienreizēja izmaiņa, nevis uzturēšanas politika.

Aprakstiet izņēmumu, ko patiešām domājat

Sāciet ar četru vērtību pierakstīšanu, kas noteikumam vajadzīgas: apstiprinātais galapunkta nosaukums vai adrešu kopa, transports, galamērķa ports un saskarne, pa kuru pakete iziet. Visas četras ir atļaujas daļa, un jebkura no tām var būt nepareiza, kamēr noteikums vēl izskatās ticams. Noteikums, kas ir pareizs trijās no tām, neizdodas tieši tāpat kā noteikums, kas ir nepareizs visās četrās. Pierakstiet tās pirms komandas ievadīšanas, jo noteikums ir tikai tik labs, cik labs ir tā apraksts.

Zemāk esošā komanda parāda formu vienam IPv4 UDP galapunktam vadu uplinkā. Aizstājiet abas vērtības ar tām, kuras esat pārbaudījis pret izvietojumu.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Šī atļauja nepieļauj patvaļīgus galamērķus tajā pašā portā, neveido klausītāju un neaptver TCP. UFW rokasgrāmatas lapa apraksta, kā adrese, saskarne un protokols sašaurina noteikumu, un šis sašaurinājums ir visa būtība.

Atjauniniet to kā vienu darbplūsmu

Traktējiet izņēmumu kā resursu ar īpašnieku un pāreju, nevis kā komandu, ko kāds atceras palaist. Vispirms iegūstiet kandidātu no paša izvietojuma resolvera un galapunktu inventāra un apzināti definējiet, kā šis nosaukums tiek atrisināts pirms tuneļa pastāvēšanas. Pēc tam validējiet kandidātu pret paredzēto protokolu, portu un adrešu saimi, pirms pieskaraties noteikumu kopai.

Vispirms instalējiet jauno šauro atļauju un apstipriniet, ka tā ir ielādēta, jo lūgums klientam izmantot adresi, ko ugunsmūris joprojām bloķē, rada kļūdu, kas izskatās kā servera kļūme. Izmaiņu laikā neaiztieciet nesaistītus noteikumus.

Novērojiet klienta pāreju tā atbalstītajā atkārtotas savienošanas ceļā un apstipriniet, kuru attālo adresi tas izvēlējās. Tikai DNS atjaunināšana nepārvieto esošu ligzdu, un galapunkta noturības iestatījums var noturēt klientu pie vecā peer vēl ilgi pēc ieraksta maiņas.

Visbeidzot apzināti atsauciet novecojušo atļauju, pieļaujot apstiprināto pārklāšanās logu, kamēr vecā sesija vēl ir aktīva. Pārāk agra vecā ieraksta noņemšana rada īsu pārtraukumu; atstāšana uz visiem laikiem atstāj atļauju, ko neviens nevar izskaidrot.

Apzināti atsauciet veco atļauju

Noņemšana ir vieta, kur slēpjas lielākā daļa riska, jo vecais noteikums ir vienīgais, kas šobrīd darbojas. Ja kandidāta instalācija neizdevās, nepiniet tālāk un nedzēsiet ierakstu, kas joprojām pārvadā satiksmi. Ja pati noņemšana neizdodas, reģistrējiet novecojušo atļauju kā novecojušu, tā vietā lai pasludinātu politiku par aktuālu.

Atkārtojiet visu pārskatu, kad uplinks mainās no Ethernet uz Wi-Fi, kad mainās transports vai kad pakalpojums rotē pa vairākām adresēm. Saskarnei specifiskam noteikumam pēc tīkla maiņas ir jāpārstāj atbilst, un šāda uzvedība ir pareiza, lai gan tā izskatās pēc regresijas.

Pēc tam pierādiet līgumu ar nekaitīgu satiksmi. Apstiprinātajam galapunktam jābūt sasniedzamam iestatīšanas laikā, aizsargātajai lietotnei jādarbojas pēc savienošanas, un nesaistītai tiešai satiksmei jāpaliek bloķētai pārtraukuma laikā. Iekļaujiet abas adrešu saimes un vienu apzināti neizdevušos atjaunināšanas mēģinājumu, jo savienojums, kas izdodas pēc vienas fiksētas adreses izmaiņas, nepierāda nevienu no šiem gadījumiem.