Төгсгөлийн цэгийн хаяг өөрчлөгдөхөд VPN-д зориулсан UFW онцгой тохиолдол

Клиент дахин холбогдохыг оролдож, машинаас юу ч гарч байхгүй боловч өнгөрсөн долоо хоногт мөн тэр профайл ажиллаж байсан. Төгсгөлийн цэгийн хост нэр одоо өөр хаяг руу шийдэгдэж, гарах онцгой тохиолдол хуучныг нэрлэсээр байна. Тэр ганц хуучирсан зөвшөөрөл нь ажиллаж буй kill switch-ийг бүрэн тасалдал болгоход хангалттай бөгөөд ажлын талбарын харуулдаг аливаа төлөвийн үзүүлэлтэд харагдахгүй. Засвар нь нэг мөрийн өөрчлөлт биш, жижиг ажлын урсгал юм.

Туннель дахин холбогдож, дараа нь юу ч гарч байхгүй

Очих хаягийг нэрлэдэг гарах дүрэм бол агшин зуурын зураг бөгөөд DNS-ийн хариултууд тийм биш. Үйлчилгээ үзүүлэгч хаягийг эргүүлэхэд клиентийн шинэ peer руу илгээх пакет юутай ч таарахгүй бөгөөд анхдагч хоригоор хаягдана. Дараа нь клиент хугацаа дууссан тухай мэдээлэх бөгөөд энэ нь firewall биш, серверийн асуудал мэт сонсогддог.

Олон нийтийн хайлтаас буцаж ирэх хаягийг бэхлэх нь өнөөдрийг ажиллуулж, маргаашийг эвдэрхий үлдээнэ. Энэ бол нэг удаагийн засвар, засвар үйлчилгээний бодлого биш.

Таны үнэхээр санаж буй онцгой тохиолдлыг тайлбарлана уу

Дүрэмд хэрэгтэй дөрвөн утгыг бичиж эхэл: батлагдсан төгсгөлийн цэгийн нэр эсвэл хаягийн багц, зөөвөрлөлт, очих порт ба пакет гарах интерфейс. Дөрөв нь бүгд зөвшөөрлийн хэсэг бөгөөд тэдгээрийн аль нэг нь буруу байж болохын зэрэгцээ дүрэм итгэл үнэмшилтэй харагдана. Гурав дээр нь зөв дүрэм дөрөв дээр нь буруу дүрэмтэй яг адил бүтэлгүйтнэ. Тэдгээрийг команд бичихээс өмнө бичиж үлдээ, учир нь дүрэм ард байгаа тайлбар шигээ л сайн байдаг.

Доорх команд нь утсан uplink дээрх нэг IPv4 UDP төгсгөлийн цэгийн хэлбэрийг харуулна. Хоёр утгыг байршуулалтын эсрэг шалгасан утгуудаараа соль.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Энэ зөвшөөрөл нэг порт дээр дурын очих газрыг зөвшөөрөхгүй, сонсогч үүсгэхгүй, TCP-г хамрахгүй. UFW гарын авлагын хуудас хаяг, интерфейс, протокол дүрмийг хэрхэн нарийсгадгийг тайлбарладаг бөгөөд яг тэр нарийсгал нь бүх асуудал юм.

Үүнийг нэг ажлын урсгал болгон шинэчил

Онцгой тохиолдлыг эзэмшигч ба шилжилттэй нөөц гэж үз, хэн нэгэн ажиллуулахыг санадаг команд гэж биш. Эхлээд байршуулалтын өөрийн шийдэгч ба төгсгөлийн цэгийн жагсаалтаас нэр дэвшигч авч, туннель үүсэхээс өмнө тэр нэрийг хэрхэн шийдэхийг санаатайгаар тодорхойл. Дараа нь дүрмийн багцад хүрэхээс өмнө нэр дэвшигчийг зорьсон протокол, порт, хаягийн гэр бүлд нийцүүлэн баталгаажуул.

Эхлээд шинэ нарийн зөвшөөрлийг суулгаж, ачаалагдсаныг баталгаажуул, учир нь клиентээс firewall-ийн хориглож буй хаягийг ашиглахыг шаардах нь серверийн гэмтэл мэт харагдах алдаа гаргадаг. Өөрчлөлтийн үеэр хамааралгүй дүрмүүдэд хүрэхгүй бай.

Клиентийн дахин холбогдох замаар шилжихийг ажиглаж, аль алсын хаягийг сонгосныг баталгаажуул. Зөвхөн DNS-ийг шинэчлэх нь байгаа socket-ийг хөдөлгөхгүй бөгөөд төгсгөлийн цэгийн тогтвортой байдлын тохиргоо бичлэг өөрчлөгдсөний дараа ч клиентийг хуучин peer дээр удаан барих боломжтой.

Эцэст нь хуучирсан зөвшөөрлийг санаатайгаар буцааж ав, хуучин сесс идэвхтэй байх үед батлагдсан давхцлын цонхыг зөвшөөр. Хуучин бичлэгийг хэт эрт устгах нь богино тасалдал үүсгэдэг; үүнийг үүрд үлдээх нь хэн ч тайлбарлаж чадахгүй зөвшөөрлийг үлдээдэг.

Хуучин зөвшөөрлийг санаатайгаар буцааж ав

Устгах нь эрсдэлийн ихэнх хэсэг байрладаг газар, учир нь хуучин дүрэм одоо ажиллаж буй цорын ганц зүйл юм. Хэрэв нэр дэвшигчийг суулгах нь бүтэлгүйтсэн бол үргэлжлүүлэхгүй, трафик зөөсээр байгаа бичлэгийг устгахгүй бай. Хэрэв устгах нь өөрөө бүтэлгүйтвэл бодлогыг одоогийн гэж зарлахын оронд хуучирсан зөвшөөрлийг хуучирсан гэж бүртгэ.

Uplink Ethernet-ээс Wi-Fi руу шилжих, зөөвөрлөлт өөрчлөгдөх, эсвэл үйлчилгээ хэд хэдэн хаягаар эргэх үед бүх хяналтыг давт. Интерфейст хамаарах дүрэм сүлжээ өөрчлөгдсөний дараа тохирохоо болих ёстой бөгөөд энэ зан төлөв регресс мэт харагдсан ч зөв юм.

Дараа нь гэрээг хор хөнөөлгүй трафикаар батал. Батлагдсан төгсгөлийн цэг тохиргооны үеэр хүртээмжтэй байх ёстой, хамгаалагдсан аппликейшн холбогдсоны дараа ажиллах ёстой, хамааралгүй шууд трафик тасалдалын үеэр хаалттай хэвээр байх ёстой. Хоёр хаягийн гэр бүл ба санаатайгаар бүтэлгүйтсэн нэг шинэчлэлтийн оролдлогыг оруул, учир нь бэхэлсэн хаягийн нэг засварын дараа амжилттай болсон холболт эдгээр тохиолдлын алийг ч батлахгүй.