Regola ġdida tal-UFW, konnessjoni qadima: l-istat stabbilit jirbaħ

Ċaħda tar-rotta tal-UFW b'firxa limitata taqbeż traffiku li r-regoli ta' qabel diġà aċċettaw. Ara fejn tiddaħħal u x'għadha tħalli tgħaddi l-istat stabbilit.

Li żżid regola ta' ċaħda u tara tniżżil miftuħ ikompli mhuwiex bug tal-UFW. Ir-regola li żidt tinsab wara regoli li diġà aċċettaw il-fluss, u konnessjoni stabbilita qabel tibqa' taqbel magħhom. Biex tissewwa dan trid iddaħħalha fil-pożizzjoni tajba u tifhem x'jiggarantixxu r-regoli ta' qabel. Il-verżjoni dejqa ta' dik il-bidla hija din li ġejja.

L-ordni tiddeċiedi, mhux l-eżistenza tar-regola

L-UFW hija quddiem nett li tikteb ir-regoli tan-netfilter fi stadji: sezzjoni qafas li taħdem qabel ir-regoli tal-utent, imbagħad ir-regoli tal-utent innifishom, imbagħad sezzjoni li taħdem warajhom. Ir-regoli ta' qabel standard jaċċettaw it-traffiku tal-konnessjonijiet stabbiliti u relatati, u dawk ir-regoli jiġu evalwati qabel kull ħaġa li żżid b'allow jew deny ordinarju. Ir-referenza tal-kmandi tal-UFW tiddokumenta s-sintassi tad-dħil u l-veduta tal-istat bl-aħħar numri li din il-bidla tiddependi fuqha.

Dak l-ordni jispjega s-sorpriża. Ir-regola l-ġdida tiegħek hija reali u tinsab fit-tabella t-tajba, iżda mhijiex l-ewwel deċiżjoni li tiltaqa' magħha l-pakkett. Konnessjoni li diġà qed tiġi segwita bħala stabbilita qatt ma tasal għaliha.

Uża regoli route għal dan ix-xogħol, għax il-pakkett qed jiġi mgħoddi mill-gateway minflok ma jiġi indirizzat lis-servizzi tiegħu stess. Regola tal-input kienet tiffiltra t-traffiku ħażin u tidher li mhijiex tagħmel xejn.

Iddaħħal fuq il-permess wiesa'

Ara d-dħil bil-quddiem qabel ma tapplikah, u kkonferma li r-regola ma teżistix diġà f'post ieħor fil-lista. Id-duplikazzjoni ta' politika identika tagħmel it-tneħħija aktar tard ambigwa, u min ineħħi l-kopja ħażina mhux se jinduna biha għal ġimgħat.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Jekk il-preview turi eżattament regola waħda fil-pożizzjoni li tistenna, applika l-istess kmand mingħajr il-bandiera dry-run. Il-pożizzjoni 1 tqegħedha fuq il-permessi tal-utent aktar wiesgħa, mhux fuq ir-regoli tal-qafas diskussi qabel. Ikkonferma li l-isem tal-interface jaqbel mal-apparat tat-tunnel fuq dan il-gateway, għax regola marbuta ma' interface li ma għadhiex teżisti tibqa' fil-lista tidher tajba waqt li ma taqbel ma' xejn. Ibdel l-isem tar-referenza tal-apparat qabel tapplika, mhux wara li t-test ifalli.

M'hemmx port tad-destinazzjoni f'dik ir-regola, għalhekk tiċħad kull port TCP fuq dak l-indirizz u mhux biss HTTPS. Jekk l-intenzjoni hija servizz wieħed, semmi l-port; regola usa' mill-politika hija inċident futur li qed jistenna l-ewwel qarrej tiegħu.

Illimita s-sors għal indirizz wieħed biss jekk dak l-indirizz huwa marbut mal-identità maħsuba. Pool tal-VPN b'assenjazzjoni dinamika jista' jagħti l-istess indirizz lil klijent ieħor għada, u ċ-ċaħda ssegwi l-indirizz u mhux il-persuna.

Flussi stabbiliti jgħaddu mir-regola l-ġdida

It-traċċar tal-konnessjonijiet huwa r-raġuni li s-sessjoni eżistenti tkompli. Ladarba fluss jiġi rreġistrat bħala stabbilit, ir-regoli ta' qabel jaċċettaw il-pakketti tiegħu qabel ma tiġi kkonsultata ċ-ċaħda tiegħek, u t-trasferiment jintemm bħallikieku xejn ma nbidel. Għalhekk l-ittestjar b'browser li juża mill-ġdid konnessjoni miftuħa ma jgħidlek xejn dwar il-politika l-ġdida. Ċaħda tista' tidher bla użu minuti wara l-iskjerament u tkun kompletament effettiva għall-utent li jmiss li jikkonnettja.

Jekk ir-rekwiżit jinkludi qtugħ ta' traffiku ħaj, din il-bidla tar-regola tal-utent ma tistax tipprovdih. L-irtirar tal-istat segwit hija azzjoni separata bir-raġġ ta' impatt tagħha, u tappartjeni lis-sid tal-firewall u mhux lil min żied ir-regola. Li tħassar kull konnessjoni fuq gateway biex sessjoni waħda tisparixxi huwa t-tip ta' tiswija li jiġġenera t-tieni inċident.

Ftakar fil-limiti wkoll. Din ir-regola ma tgħid xejn dwar ICMP, UDP jew IPv6, għalhekk ping b'suċċess mhuwiex prova li ċ-ċaħda falliet. Indirizz IPv4 wieħed mhuwiex sit web lanqas: isem jista' jiġi riżolt f'ħafna indirizzi, u huwa kopert biss dak li semmejt.

Ittestja b'fluss ġdid

Aqra r-regoli tal-utent bl-aħħar numri u l-veduta mhux maħduma effettiva, imbagħad iftaħ konnessjoni ġdida mill-klijent magħżul:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Il-veduta mhux maħduma hija importanti għax status iħalli barra regoli tal-qafas miktuba bl-idejn, għalhekk l-ordni jista' jidher differenti minn dak li jinfurza l-qalba. Qabbel it-tnejn qabel ma tikkonkludi li regola tinsab fil-post ħażin.

Imbagħad iċċekkja żewġ kontrolli li juru li r-regola hija dejqa u mhux wiesgħa: destinazzjoni permessa mill-istess klijent għadha taħdem, u t-tieni klijent għadu jasal għad-destinazzjoni miċħuda jekk il-politika tiegħu tippermettih. Ċaħda li tkisser iż-żewġ testijiet hija bidla fil-politika, mhux miżura mmirata.

Meta t-test jintemm, neħħi biss ir-regola li żidt, billi ttenniha eżattament. Jekk il-politika hija permanenti, għaddiha lis-sid tal-firewall mal-identità tal-klijent, is-sid tad-destinazzjoni u data ta' reviżjoni, sabiex indirizz tat-tunnel assenjat mill-ġdid ma jħallix ċaħda skaduta warajh.

Artikli relatati