Исклучок во UFW за VPN кога се менува адресата на крајната точка

Клиентот се обидува повторно да се поврзе и ништо не излегува од машината, иако истиот профил работеше минатата недела. Името на домаќинот на крајната точка сега се разрешува на друга адреса, а излезниот исклучок сѐ уште ја наведува старата. Тоа едно застарено дозволување е доволно да го претвори работниот kill switch во целосен прекин, и е невидливо во секој показател за состојба што го прикажува работната површина. Поправката е мал работен тек, а не измена на еден ред.

Тунелот повторно се поврзува, а потоа ништо не излегува

Излезното правило што наведува адреса на одредиште е снимка, а одговорите на DNS не се. Кога добавувачот ја врти адресата, пакетот што клиентот го испраќа кон новата партнерска точка не се совпаѓа со ништо и се отфрла со стандардната забрана. Потоа клиентот пријавува истечено време, што звучи како проблем на серверот, а не на огнениот ѕид.

Прицврстувањето на адресата што ја враќа јавно пребарување прави денес да работи, а утре да остане расипано. Тоа е еднократна измена, не политика за одржување.

Опишете го исклучокот што навистина го имате на ум

Започнете со запишување на четирите вредности што му се потребни на правилото: одобреното име на крајната точка или множество адреси, транспортот, портата на одредиште и интерфејсот низ кој пакетот излегува. Сите четири се дел од дозволувањето, и секоја од нив може да биде погрешна додека правилото сѐ уште изгледа веродостојно. Правило што е точно во три од нив не успева исто како правило што е погрешно во сите четири. Запишете ги пред да ја внесете командата, зашто правилото е добро онолку колку што е добар описот зад него.

Командата подолу ја покажува формата за една крајна точка IPv4 UDP на кабелска врска. Заменете ги двете вредности со тие што сте ги провериле спрема распоредувањето.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Тоа дозволување не овластува произволни одредишта на истата порта, не создава слушач и не покрива TCP. Страницата од прирачникот на UFW опишува како адресата, интерфејсот и протоколот го стеснуваат правилото, и токму тоа стеснување е целата поента.

Освежете го како еден работен тек

Третирајте го исклучокот како ресурс со сопственик и премин, а не како команда што некој ќе се сети да ја изврши. Прво набавете кандидат од сопствениот резолвер и пописот на крајни точки на распоредувањето и свесно определете како тоа име се разрешува пред тунелот да постои. Потоа валидирајте го кандидатот спрема предвидениот протокол, порта и семејство адреси пред да го допрете множеството правила.

Прво инсталирајте го новото тесно дозволување и потврдете дека се вчитало, зашто барањето од клиентот да користи адреса што огнениот ѕид сѐ уште ја блокира дава дефект што личи на отказ на серверот. Не допирајте неповрзани правила за време на промената.

Набљудувајте го преминот на клиентот низ неговиот поддржан пат за повторно поврзување и потврдете која оддалечена адреса ја избрал. Самото ажурирање на DNS не поместува постоечки сокет, а поставката за постојаност на крајната точка може да го задржи клиентот на старата партнерска точка долго откако записот се сменил.

На крајот свесно повлечете го застареното дозволување, дозволувајќи го одобрениот прозорец на преклопување додека старата сесија е сѐ уште активна. Прераното отстранување на стариот запис дава краток прекин; оставањето засекогаш остава дозволување што никој не може да го објасни.

Свесно повлечете го старото дозволување

Отстранувањето е местото каде што лежи најголемиот дел од ризикот, зашто старото правило е единственото што работи во моментов. Ако инсталирањето на кандидатот не успеало, не продолжувајте и не го бришете записот што сѐ уште носи сообраќај. Ако самото отстранување не успее, забележете го застареното дозволување како застарено наместо да ја прогласите политиката за актуелна.

Повторете го целиот преглед кога врската се менува од Ethernet на Wi-Fi, кога се менува транспортот или кога услугата се врти низ неколку адреси. Правилото специфично за интерфејс треба да престане да се совпаѓа по промената на мрежата, и тоа однесување е точно иако изгледа како регресија.

Потоа докажете го договорот со безопасен сообраќај. Одобрената крајна точка мора да биде достапна за време на поставувањето, заштитената апликација мора да работи по поврзувањето, а неповрзаниот директен сообраќај мора да остане блокиран за време на прекин. Вклучете ги двете семејства адреси и еден намерно неуспешен обид за ажурирање, зашто врска што успева по една единствена измена на прицврстена адреса не докажува ниту еден од тие случаи.