Шинэ UFW дүрэм, хуучин холболт: тогтсон төлөв ялна

Нарийн хүрээтэй UFW маршрутын хориг нь өмнөх дүрмүүд аль хэдийн зөвшөөрсөн урсгалыг алгасдаг. Үүнийг хаана оруулах, тогтсон төлөв юуг хараахан нэвтрүүлж байгааг үзээрэй.

Хориглох дүрэм нэмээд нээлттэй татан авалт үргэлжилж байгааг харах нь UFW-ын алдаа биш. Таны нэмсэн дүрэм урсгалыг аль хэдийн зөвшөөрсөн дүрмүүдийн дараа байрладаг бөгөөд өмнө нь тогтсон холболт тэдгээрт тохирсоор байна. Үүнийг засахын тулд зөв байрлалд оруулж, өмнөх дүрмүүд юу амлаж байгааг ойлгох хэрэгтэй. Энэ өөрчлөлтийн нарийн хувилбар доор байна.

Дүрмийн оршихуй биш, дараалал шийднэ

UFW нь netfilter дүрмүүдийг үе шаттайгаар бичдэг интерфейс юм: хэрэглэгчийн дүрмээс өмнө ажиллах хүрээ бүс, дараа нь хэрэглэгчийн дүрмүүд өөрсдөө, дараа нь тэдний дараа ажиллах бүс. Стандарт өмнөх дүрмүүд тогтсон болон холбоотой холболтын урсгалыг зөвшөөрдөг бөгөөд эдгээр дүрмүүд таны энгийн allow эсвэл deny-ээр нэмэх бүхнээс өмнө үнэлэгддэг. UFW командын лавлагаа оруулах синтакс болон энэ өөрчлөлтөөс хамаарах дугаарласан төлөвийн харагдацыг баримтжуулдаг.

Энэ дараалал гайхшралыг тайлбарлана. Таны шинэ дүрэм бодитой бөгөөд зөв хүснэгтэд байгаа боловч пакеттай тулгарах анхны шийдвэр биш юм. Тогтсон гэж хянагдаж буй холболт түүнд хэзээ ч хүрдэггүй.

Энэ ажилд route дүрмүүдийг ашиглаарай, учир нь пакет гарцын өөрийн үйлчилгээнд хаяглагдахгүй, харин гарцаар дамжин дамжуулагддаг. Оролтын дүрэм буруу урсгалыг шүүж, юу ч хийхгүй мэт харагдах байсан.

Өргөн зөвшөөрлийн дээр оруулна

Оруулахаасаа өмнө урьдчилан үзэж, дүрэм жагсаалтын өөр газарт аль хэдийн байхгүй эсэхийг баталгаажуулаарай. Ижил бодлогыг давхарлах нь дараагийн устгалтыг хоёрдмол утгатай болгодог бөгөөд буруу хуулбарыг устгасан хүн үүнийг долоо хоногоор анзаарахгүй.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Урьдчилсан харагдац хүлээсэн байрлалд яг нэг дүрэм харуулбал, dry-run туггүйгээр мөн командыг хэрэглээрэй. 1-р байрлал түүнийг илүү өргөн хэрэглэгчийн зөвшөөрлийн дээр тавьдаг, өмнө хэлэлцсэн хүрээ дүрмүүдийн дээр биш. Интерфейсийн нэр энэ гарц дээрх туннелийн төхөөрөмжтэй тохирч байгаа эсэхийг баталгаажуулаарай, учир нь байхгүй болсон интерфейст холбосон дүрэм жагсаалтад сууж зөв харагдах боловч юутай ч тохирохгүй. Төхөөрөмжийн лавлагааг хэрэглэхээс өмнө өөрчил, туршилт бүтэлгүйтсэний дараа биш.

Тэр дүрэмд очих порт байхгүй тул зөвхөн HTTPS биш, тэр хаягийн бүх TCP портыг хориглодог. Зорилго нь нэг үйлчилгээ бол портыг нэрлэ; бодлогоос өргөн дүрэм бол анхны уншигчаа хүлээж буй ирээдүйн тохиолдол.

Эх үүсвэрийг нэг хаягаар хязгаарлах нь зөвхөн тэр хаяг зорилтот таних тэмдэгтэй холбогдсон бол. Динамик хуваарилалттай VPN сан маргааш мөн хаягийг өөр клиентэд өгч болох бөгөөд хориг хүнийг биш, хаягийг дагах болно.

Тогтсон урсгалууд шинэ дүрмээс амьд үлдэнэ

Одоогийн сессийг үргэлжлүүлэх шалтгаан нь холболтын хяналт юм. Урсгал тогтсон гэж бүртгэгдсэний дараа өмнөх дүрмүүд таны хоригийг харахаас өмнө түүний пакетуудыг зөвшөөрч, дамжуулалт юу ч өөрчлөгдөөгүй мэт дуусдаг. Тиймээс нээлттэй холболтыг дахин ашигладаг хөтчөөр турших нь шинэ бодлогын талаар юу ч хэлэхгүй. Хориг нэвтрүүлснээс хойш хэдэн минутын дараа ашиггүй мэт харагдаж, дараа холбогдох хэрэглэгчид бүрэн үр дүнтэй байж болно.

Шаардлагад шууд урсгалыг таслах багтсан бол энэ хэрэглэгчийн дүрмийн өөрчлөлт үүнийг өгч чадахгүй. Хянагдаж буй төлөвийг цуцлах нь өөрийн нөлөөний радиустай тусдаа үйлдэл бөгөөд энэ нь дүрэм нэмсэн хүнд биш, галт ханын эзэнд хамаарна. Нэг сессийг алга болгохын тулд гарц дээрх бүх холболтыг цэвэрлэх нь хоёр дахь тохиолдол үүсгэдэг засвар юм.

Хязгаарыг ч санаарай. Энэ дүрэм ICMP, UDP эсвэл IPv6-ын талаар юу ч хэлэхгүй тул амжилттай ping нь хориг бүтэлгүйтсэн гэсэн нотолгоо биш. Нэг IPv4 хаяг ч вебсайт биш: нэр хэд хэдэн хаяг руу шийдэгдэж болох бөгөөд зөвхөн таны нэрлэсэн нь хамаарна.

Шинэ урсгалаар туршина

Дугаарласан хэрэглэгчийн дүрмүүд болон үр дүнтэй түүхий харагдацыг уншаад, сонгосон клиентээс шинэ холболт нээ:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Түүхий харагдац чухал, учир нь status гараар бичсэн хүрээ дүрмүүдийг орхидог тул дараалал цөм хэрэгжүүлж буйгаас өөр харагдаж болно. Дүрэм буруу газар байна гэж дүгнэхээс өмнө хоёрыг харьцуул.

Дараа нь дүрэм өргөн биш, нарийн гэдгийг нотлох хоёр хяналтыг шалга: ижил клиентээс зөвшөөрөгдсөн очих газар ажилласаар байна, хоёр дахь клиент бодлого нь зөвшөөрвөл хориглосон очих газарт хүрсээр байна. Хоёр туршилтыг хоёуланг нь эвдэх хориг бол бодлогын өөрчлөлт, зорилтот арга хэмжээ биш.

Туршилт дууссаны дараа зөвхөн өөрийн нэмсэн дүрмийг устга, яг тэр хэвээр нь давтан бич. Бодлого байнгын бол галт ханын эзэнд клиентийн таних тэмдэг, очих газрын эзэн, хянах огноог хамт өг, ингэснээр дахин хуваарилагдсан туннелийн хаяг хуучирсан хориг үлдээхгүй.

Холбоотой нийтлэлүүд