ufw allow 443 VPN-ийн ард байгаа үйлчилгээнд юу ч хийсэнгүй

VPN клиентээс ping амжилттай болдог ч TCP үйлчилгээ хугацаа хэтэрч, ufw allow 443/tcp юуг ч өөрчлөхгүй. Аппликешн гарцын өөр дээр биш, гарцын ард байгаа хост дээр ажиллаж байгаа бол энэ зөвшөөрөл буруу трафикийн замд бичигдсэн байна. Пакет галт ханад хаяглагдаагүй бөгөөд локал процесс руу хүргэгдэхгүй тул оролтын дүрмүүд түүнийг хэзээ ч хардаггүй. Засвар нь дамжуулагдаж буй урсгалд чиглэсэн маршрутын дүрэм бөгөөд түүний нотолгоо журналд аль хэдийн байна.

Очих газар локал эсвэл дамжуулагдсан эсэхийг шийдээрэй

Пакетыг цөм харж байгаагаар нь уншаарай. Гарц дээрх үйлчилгээнд хүргэгдсэн трафик нь локал оролт юм. Гарц өөр хост руу дамжуулж буй трафик нь дамжуулагдсан бөгөөд UFW хоёр замд тусдаа дүрмийн багц хадгалдаг. Ялгааг очих хаяг болон маршрутын хайлт шийддэг, пакет ирсэн интерфейс биш.

IN ба OUT хоёр талбарт ижил интерфейс харуулсан журналын мөр ч гэсэн маршрутлагдсан пакетыг дүрсэлж болно, учир нь нэг төхөөрөмжөөс клиентүүдийг дотогш, гадагш зөөдөг туннель яг ийм харагддаг. Очих хаяг энэ асуултыг интерфейсийн нэрнээс илүү хурдан шийддэг. Нэг нэрийг хоёр удаа харах нь локал хүргэлтийг батлахгүй бөгөөд байршуулалт хэзээ ч үүсгээгүй туннелийн интерфейсийг зохиох нь ч тус болохгүй.

Ямар ч дүрэм нэмэхийн өмнө блокыг уншаарай

Нэг зөвшөөрөгдсөн холболтын оролдлогыг дахин хийж, гарц бүртгэсэн байдлаар түүний эх, очих газар, протокол, очих портыг тэмдэглээрэй. Эдгээр дөрвөн утгыг журналын бичлэг болон үйлчилгээний бодит байршилтай харьцуулаарай. Өмнөх амжилттай ping нь зөвхөн өөрийнх нь солилцоо зөвшөөрөгдсөнийг баталдаг бөгөөд галт хана аппликешн рүү чиглэсэн TCP SYN-ийг огт өөрөөр шийдэж болно.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Эхний команд шийдвэрийг талбаруудын хамт буцаадаг, хоёр дахь нь юу аль хэдийн ачаалагдсан, ямар дарааллаар байгааг харуулдаг. Ямар нэг зүйлийг засахаас өмнө хоёуланг нь уншаарай, учир нь дүрмийн чинь дээрх өмнөх хориг нь дутуу дүрэмгүйгээр ч мөн адил шинж тэмдгийг тайлбарладаг.

Тохирох хамгийн нарийн маршрутын дүрмийг бичээрэй

Энэ жишээнд клиентүүд tun0 дээр 172.20.8.0/24-аас ирдэг, үйлчилгээ 10.30.0.15 дээр 8443 портод сонсдог, гарц ens5-аар гардаг. Эдгээр утгыг үүлэн VPC-ийн анхдагч 10.0.0.0/16 эсвэл гэрийн 192.168.0.0/16 сүлжээтэй огт төстэй биш байлгахын тулд сонгосон бөгөөд 8443 нь жишээг гарцын өөрийнх нь 443 сонсогчоос хол байлгадаг.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Хуурай ажиллагаа үүсэх дүрмийн багцыг хэвлэдэг бөгөөд энэ нь таны дүрэм одоо байгаа хоригийн өмнө эсвэл дараа унах эсэхийг харах хамгийн хямд арга юм. Интерфейсийн нэр болон дотоод хаягыг жишээтэй биш, байршуулалттай тулган шалгаж, очих NAT эхэлж ажиллах үед шүүлтүүр аль хэдийн орчуулагдсан очих газрыг хардаг гэдгийг санаарай.

Буцах замыг төлөвтэй нь хадгалаарай

UFW зөвшөөрөгдсөн холболтуудыг мөрддөг тул зөвшөөрөгдсөн дамжуулагдсан урсгалын хариу нь илэрхий эсрэг дүрэмгүйгээр хүлээн авагдана. Бүх зүйл ажиллахын тулд эсрэг чиглэлд хязгааргүй дүрэм нэмэх нь бодлогыг нэг үйлчилгээнээс хамаагүй өргөтгөдөг бөгөөд ердийн хүсэлт-хариу солилцоонд шаардлагагүй. Буцах замыг далд, дүрмийн багцыг уншигдахуйц хадгалаарай.

Хуурай ажиллагаа зорилготой тань нийцсэний дараа л дүрмийг хэрэглэж, дараа нь эрэмбэлсэн жагсаалт түүнийг хүлээгдэж буй байрлалд харуулж байгааг баталгаажуулаарай. VPN сонсогч болон удирдлагын дүрмийг тусдаа асуудал болгон хадгалаарай, учир нь тэдгээрийг өөрчлөх нь нэг аппликешныг нэвтрүүлэхээс өөр шийдвэр юм. Өөрчлөлтийг топологи бичигдсэн газарт тэмдэглээрэй, ингэснээр дараагийн инженер пакетын бичлэгээс дахин нээх шаардлагагүй болно.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

UFW таны өмнөөс юуг хэрэгжүүлж чадахгүйг шалгаарай

Зөв дүрэмд цөмийн дамжуулалт болон үйлчилгээнд хүрэх маршрут хоёр шаардлагатай хэвээр. Галт ханыг хоёр дахь удаагаа буруутгахаас өмнө хоёуланг нь баталгаажуулаарай.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Дараа нь хостоос гаднаа хараарай. Үүлэн инстанс дээр зочны UFW бодлого нь аюулгүй байдлын бүлэг, дэд сүлжээний ACL эсвэл үйлчилгээ үзүүлэгчийн өөрийн дамжуулалтын тохиргоог орлохгүй тул локал блок нь нэг давхаргын тухай нотолгоо бөгөөд бусад бүх давхарга үйлчилгээг зөвшөөрдөг гэсэн нотолгоо биш.

Галт ханыг асаалттай байхад шинэ холболтыг туршиж дуусгаарай, зөвшөөрөгдсөн эх сурвалжаас болон холбоогүй эх сурвалжаас. UFW-г унтраах нь нэг командад шинж тэмдгийг арилгаж, нотолгоог устгадаг тул энэ нь эхний биш, хамгийн сүүлийн туршилт байх ёстой.