Firewall на Linux дистрибуција може да го блокира вашиот VPN сообраќај

Тунелот се крева, дневникот вели поврзано, а една апликација сепак не може да дојде до ништо. На Linux клиент тоа обично значи дека firewall-от на дистрибуцијата филтрира патека што VPN клиентот никогаш не ја управувал. Два менаџери можат да бидат активни истовремено, секој со свои идеи за интерфејсот, зоната и насоката на сообраќајот. Определувањето на сопственикот пред да се уреди нешто е побрзо отколку да се пробаат правила додека нешто не проработи.

Најдете го менаџерот и backend-от

Започнете со тоа што е навистина вчитано, а не со тоа што е инсталирано. Дистрибуцијата може да испорача firewalld, ufw и обична nftables услуга, и само една од нив го поседува тековниот сет правила. Пакетите мирно коегзистираат, а правилото внесено преку погрешниот фронтенд никогаш не стигнува до јадрото. Прочитајте ја активната услуга, потоа прочитајте го сетот правила што го создала.

Backend-от е исто толку важен како фронтендот. Инсталација на firewalld може да управува со nftables или стариот backend iptables во зависност од верзијата и конфигурацијата, и двете даваат различен излез од проверка. Запишете ја дистрибуцијата, верзијата и backend-от во тикетот пред да го споредите вашиот систем со кој било водич.

Усогласете ја насоката и интерфејсот

Излезното барање на клиентот, влезниот слушател и препратениот пакет минуваат низ различни куки, и правило за едното не ги покрива другите. Зона што го дозволува локалниот LAN често не го вклучува интерфејсот на тунелот или базенот со адреси на VPN. Интерфејсот на тунелот обично слетува во стандардната зона, која често е построга од зоната во која се наоѓа физичкиот адаптер. Оваа неусогласеност објаснува зошто прелистувањето работи во LAN и запира во моментот кога тунелот се крева.

Прашајте која насока не успеа пред да изберете правило. Апликација што не може да се поврзе нанадвор има потреба од излезната патека, додека на влезната услуга ѝ треба влезната патека на интерфејсот на тунелот. Додавањето правило на погрешниот синџир создава промена што изгледа применета и не прави апсолутно ништо.

Држете ги сопствениците на правилата во согласност

Куката на VPN клиентот, околината за контејнери и услугата на дистрибуцијата можат сите да ја менуваат мрежата, и тие не се координираат меѓу себе. Рачно внесените правила исчезнуваат при следното вчитување, а правилата вметнати во синџирот на менаџерот можат да се оценуваат по редослед што не сте го предвиделе. Користете ја постојаната конфигурација на менаџерот и проверете го добиениот сет правила наместо датотеката што сте ја напишале. Исклучувањето на целиот firewall затоа што една услуга е недостапна разменува мал проблем за голем.

Тесните бројачи се евтиниот начин да се најде одбиениот тек. Правило за логирање ограничено на една дестинација и еден порт покажува дали отфрлањето се случува локално без да се фаќа туѓ сообраќај. Отстранете го правилото за логирање кога истрагата ќе заврши, бидејќи тоа е дијагностика, а не политика, и документацијата на firewalld за зоните објаснува како се комбинираат интерфејсите и услугите.

Проверете ја поправката без да ја изгубите заклученоста

Проверете ја применетата состојба со менаџерот што ја поседува, користејќи команди што одговараат на запишаниот backend. Списокот подолу претпоставува дека firewalld е одговорен; заменете го со еквивалентот за nftables или ufw наместо да ги извршувате сите. Мешањето алатки во една сесија е начинот на кој машината завршува со два спротивставени сета правила.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Првата команда ги именува зоните и интерфејсите што им се доделени, што покажува каде тунелот навистина слетал. Втората ги печати правилата и услугите на зоната, така што можете да видите дали интерфејсот на VPN е воопшто покриен. Списокот на nftables е основната вистина за backend-от во употреба, а правило што постои само во конфигурациска датотека не се појавува таму. Споредете ги трите излези со правилото што го додадовте, и неусогласеноста обично сама се именува.

Потоа повторете го првобитното барање и однесувањето при неуспех што го барате. Новопроработивен сајт не е доволен ако истата промена ја отстранила заклученоста на клиентот, затоа тестирајте и незаштитена патека. Запишете го менаџерот, backend-от, интерфејсот и целта на правилото, бидејќи ажурирање на пакет што ќе оживее втор менаџер инаку целата збрка повторно ќе ја изгради.