Pengecualian UFW untuk VPN apabila alamat titik akhir berubah

Klien cuba menyambung semula dan tiada apa yang keluar dari mesin, walaupun profil yang sama berfungsi minggu lalu. Nama hos titik akhir kini diselesaikan ke alamat lain, dan pengecualian keluar masih menamakan yang lama. Satu kebenaran lapuk itu sudah cukup untuk menjadikan kill switch yang berfungsi sebagai gangguan sepenuhnya, dan ia tidak kelihatan dalam setiap penunjuk status yang dipaparkan desktop. Pembaikannya ialah aliran kerja kecil, bukan suntingan satu baris.

Tunnel menyambung semula, kemudian tiada apa yang keluar

Peraturan keluar yang menamakan alamat destinasi ialah petret sekejap, dan jawapan DNS tidak begitu. Apabila pembekal memutar alamat, paket yang dihantar klien ke arah peer baharu tidak sepadan dengan apa-apa dan digugurkan oleh penafian lalai. Klien kemudian melaporkan tamat masa, yang kedengaran seperti masalah pelayan dan bukan masalah firewall.

Menyemat alamat yang dikembalikan oleh carian awam menjadikan hari ini berfungsi dan meninggalkan esok rosak. Itu suntingan sekali sahaja, bukan dasar penyelenggaraan.

Terangkan pengecualian yang benar-benar anda maksudkan

Mulakan dengan menulis empat nilai yang diperlukan oleh peraturan: nama atau set alamat titik akhir yang diluluskan, pengangkutan, port destinasi dan antara muka yang dilalui paket keluar. Keempat-empatnya ialah sebahagian daripada kebenaran, dan mana-mana satu boleh salah sementara peraturan masih kelihatan munasabah. Peraturan yang betul pada tiga daripadanya gagal sama seperti peraturan yang salah pada keempat-empatnya. Tuliskan sebelum menaip arahan, kerana peraturan hanya sebaik penerangan di belakangnya.

Arahan di bawah menunjukkan bentuk untuk satu titik akhir IPv4 UDP pada uplink berwayar. Gantikan kedua-dua nilai dengan yang telah anda sahkan terhadap penggunaan.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Kebenaran itu tidak membenarkan destinasi sewenang-wenangnya pada port yang sama, tidak mencipta pendengar dan tidak meliputi TCP. Halaman manual UFW menerangkan bagaimana alamat, antara muka dan protokol menyempitkan peraturan, dan penyempitan itulah intinya.

Segarkan sebagai satu aliran kerja

Layan pengecualian sebagai sumber dengan pemilik dan peralihan, bukan sebagai arahan yang diingati seseorang untuk dijalankan. Pertama dapatkan calon daripada penyelesai dan inventori titik akhir penggunaan itu sendiri, dan tetapkan dengan sengaja bagaimana nama itu diselesaikan sebelum tunnel wujud. Kemudian sahkan calon terhadap protokol, port dan keluarga alamat yang dimaksudkan sebelum menyentuh set peraturan.

Pasang kebenaran sempit baharu dahulu dan sahkan ia dimuatkan, kerana meminta klien menggunakan alamat yang masih disekat oleh firewall menghasilkan kegagalan yang kelihatan seperti kesalahan pelayan. Biarkan peraturan tidak berkaitan tidak disentuh semasa perubahan.

Perhatikan peralihan klien melalui laluan sambung semula yang disokong dan sahkan alamat jauh mana yang dipilihnya. Mengemas kini DNS sahaja tidak menggerakkan soket sedia ada, dan tetapan kegigihan titik akhir boleh menahan klien pada peer lama lama selepas rekod berubah.

Akhir sekali, persarakan kebenaran lapuk itu dengan sengaja, sambil membenarkan tetingkap pertindihan yang diluluskan semasa sesi lama masih aktif. Mengeluarkan entri lama terlalu awal menghasilkan gangguan singkat; membiarkannya selama-lamanya meninggalkan kebenaran yang tiada siapa dapat jelaskan.

Persarakan kebenaran lama dengan sengaja

Penyingkiran ialah tempat sebahagian besar risiko berada, kerana peraturan lama satu-satunya yang berfungsi sekarang. Jika pemasangan calon gagal, jangan teruskan dan jangan padam entri yang masih membawa trafik. Jika penyingkiran itu sendiri gagal, catat kebenaran lapuk sebagai lapuk dan bukannya mengisytiharkan dasar itu terkini.

Ulangi seluruh semakan apabila uplink berubah daripada Ethernet ke Wi-Fi, apabila pengangkutan berubah, atau apabila perkhidmatan berputar merentas beberapa alamat. Peraturan khusus antara muka sepatutnya berhenti sepadan selepas perubahan rangkaian, dan tingkah laku itu betul walaupun kelihatan seperti regresi.

Buktikan kontrak itu selepasnya dengan trafik tidak berbahaya. Titik akhir yang diluluskan mesti boleh dicapai semasa persediaan, aplikasi yang dilindungi mesti berfungsi setelah disambungkan, dan trafik langsung tidak berkaitan mesti kekal disekat semasa gangguan. Sertakan kedua-dua keluarga alamat dan satu percubaan pengemaskinian yang sengaja gagal, kerana sambungan yang berjaya selepas satu suntingan alamat tersemat tidak membuktikan mana-mana kes itu.