Firewall tad-distribuzzjoni Linux jista’ jimblokka t-traffiku VPN tiegħek

It-tunell jitla’, il-log jgħid konness, u applikazzjoni waħda xorta ma tilħaq xejn. Fuq klijent Linux dan normalment ifisser li l-firewall tad-distribuzzjoni qed jiffiltra passaġġ li l-klijent VPN qatt ma mmaniġġja. Żewġ maniġers jistgħu jkunu attivi fl-istess ħin, kull wieħed b’ideat tiegħu dwar l-interface, iż-żona u d-direzzjoni tat-traffiku. Li tidentifika s-sid qabel tibdel xejn huwa aktar malajr milli tipprova regoli sakemm xi ħaġa taħdem.

Sib il-maniġer u l-backend

Ibda b’dak li huwa verament mgħobbi, mhux b’dak li huwa installat. Distribuzzjoni tista’ tforni firewalld, ufw u servizz nftables sempliċi, u wieħed biss minnhom jippossjedi s-sett ta’ regoli li qed jaħdem. Il-pakketti jgħixu flimkien bil-kwiet, u regola mdaħħla mill-frontend ħażin qatt ma tasal għall-kernel. Aqra s-servizz attiv, imbagħad aqra s-sett ta’ regoli li pproduċa.

Il-backend huwa importanti daqs il-frontend. Installazzjoni ta’ firewalld tista’ tmexxi nftables jew il-backend iptables antik skont il-verżjoni u l-konfigurazzjoni, u t-tnejn jipproduċu output ta’ spezzjoni differenti. Ikteb id-distribuzzjoni, il-verżjoni u l-backend fit-ticket qabel tqabbel is-sistema tiegħek ma’ kwalunkwe gwida.

Qabbel id-direzzjoni u l-interface

Talba ħierġa mill-klijent, semmiegħ dieħel u pakkett mgħoddi jgħaddu minn snien differenti, u regola għal wieħed ma tkoprix l-oħrajn. Żona li tippermetti l-LAN lokali spiss ma tinkludix l-interface tat-tunell jew il-pool tal-indirizzi VPN. L-interface tat-tunell normalment jinżel fiż-żona default, li spiss tkun aktar stretta miż-żona fejn jinsab l-adapter fiżiku. Dan in-nuqqas ta’ qbil jispjega għaliex il-browsing jaħdem fuq il-LAN u jieqaf fil-mument li jitla’ t-tunell.

Staqsi liema direzzjoni falliet qabel tagħżel regola. Applikazzjoni li ma tistax tikkonnettja ’l barra teħtieġ il-passaġġ tal-output, filwaqt li servizz dieħel jeħtieġ il-passaġġ tal-input fuq l-interface tat-tunell. Li żżid regola mal-katina ħażina tipproduċi bidla li tidher applikata u ma tagħmel xejn.

Żomm is-sidien tar-regoli qablu

Is-snien tal-klijent VPN, il-runtime tal-kontenituri u s-servizz tad-distribuzzjoni kollha jistgħu jimmodifikaw in-netwerk, u ma jikkoordinawx bejniethom. Regoli mdaħħla bl-idejn jisparixxu fir-rikarikament li jmiss, u regoli mdaħħla fil-katina ta’ maniġer jistgħu jiġu evalwati fi ordni li ma ridtx. Uża l-konfigurazzjoni persistenti tal-maniġer u spezzjona s-sett ta’ regoli li jirriżulta minflok il-fajl li ktibt. Li titfi l-firewall kollu għax servizz wieħed mhuwiex aċċessibbli jbiddel problema żgħira ma’ waħda kbira.

Kontaturi dojoq huma l-mod irħis biex issib il-fluss miċħud. Regola tal-logging limitata għal destinazzjoni waħda u port wieħed turi jekk il-waqgħa sseħħx lokalment mingħajr ma taqbad traffiku ta’ ħaddieħor. Neħħi r-regola tal-logging meta tintemm l-investigazzjoni, għax hija dijanjosi u mhux politika, u id-dokumentazzjoni taż-żoni ta’ firewalld tispjega kif interfaces u servizzi jingħaqdu.

Ivverifika t-tiswija mingħajr ma titlef l-illokkjar

Spezzjona l-istat applikat mal-maniġer li jippossjedih, billi tuża kmandi li jaqblu mal-backend li rreġistrajt. Il-lista hawn taħt tassumi li firewalld huwa responsabbli; ibdel bl-ekwivalenti għal nftables jew ufw minflok ma tmexxi kollha. Li tħallat għodod f’sessjoni waħda huwa kif magna tispiċċa b’żewġ settijiet ta’ regoli konfliġġenti.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

L-ewwel kmand isemmi ż-żoni u l-interfaces assenjati lilhom, li juri fejn it-tunell verament niżel. It-tieni jistampa r-regoli u s-servizzi ta’ żona, sabiex tkun tista’ tara jekk l-interface VPN hijiex koperta xejn. Il-lista nftables hija l-verità bażika għall-backend li qed jintuża, u regola li teżisti biss f’fajl ta’ konfigurazzjoni ma tidhirx hemm. Qabbel it-tliet outputs mar-regola li żidt, u n-nuqqas ta’ qbil normalment isemmi lilu nnifsu.

Imbagħad irrepeti t-talba oriġinali u l-imġiba tal-falliment li teħtieġ. Sit li għadu kif beda jaħdem mhuwiex biżżejjed jekk l-istess bidla neħħiet l-illokkjar tal-klijent, għalhekk ipprova wkoll passaġġ mhux protett. Irreġistra l-maniġer, il-backend, l-interface u l-iskop tar-regola, għax aġġornament tal-pakkett li jerġa’ jqajjem it-tieni maniġer inkella jerġa’ jibni l-kaos kollu.