ufw allow 443 ma għamel xejn għal servizz wara l-VPN

Il-ping jirnexxi minn klijent VPN, is-servizz TCP jispiċċa fil-ħin, u ufw allow 443/tcp ma jbiddel xejn. Meta l-applikazzjoni taħdem fuq host wara l-gateway u mhux fuq il-gateway innifsu, dak il-permess inkiteb għall-passaġġ tat-traffiku żbaljat. Il-pakkett mhuwiex indirizzat lill-firewall u ma jiġix konsenjat lil proċess lokali, għalhekk ir-regoli tad-dħul qatt ma jarawh. It-tiswija hija regola tar-rotta mmirata lejn il-fluss mgħoddi, u l-prova tagħha diġà tinsab fir-reġistru.

Iddeċiedi jekk id-destinazzjoni hijiex lokali jew mgħoddija

Aqra l-pakkett kif jarah il-qalba. It-traffiku konsenjat lil servizz fuq il-gateway huwa dħul lokali. It-traffiku li l-gateway jiġbor lejn host ieħor huwa mgħoddi, u UFW iżomm settijiet ta' regoli separati għaż-żewġ passaġġi. Id-differenza tiddeċidiha l-indirizz tad-destinazzjoni u t-tfittxija tar-rotta, mhux l-interface li miegħu wasal il-pakkett.

Linja tar-reġistru li turi l-istess interface fiż-żewġ oqsma IN u OUT xorta tista' tiddeskrivi pakkett irruttat, għax mina li ġġorr il-klijenti ġewwa u barra minn apparat wieħed tidher eżattament hekk. L-indirizz tad-destinazzjoni jsolvi l-mistoqsija malajr aktar milli jagħmlu l-ismijiet tal-interfaces. Li tara l-istess isem darbtejn ma jippruvax konsenja lokali, u lanqas tgħin li tinventa interface tal-mina li l-implimentazzjoni qatt ma ħolqot.

Aqra l-blokka qabel ma żżid xi regola

Irriproduċi tentattiv wieħed ta' konnessjoni awtorizzat u aqbad is-sors, id-destinazzjoni, il-protokoll u l-port tad-destinazzjoni kif irrekordjahom il-gateway. Qabbel dawk l-erba' valuri mad-dħul fir-reġistru u mal-post attwali tas-servizz. Ping li rnexxa qabel jipprova biss li l-iskambju tiegħu stess kien permess, u firewall jista' jittratta TCP SYN lejn applikazzjoni b'mod kompletament differenti.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

L-ewwel kmand jirritorna l-verdett mal-oqsma tiegħu, u t-tieni juri x'inhu diġà mgħobbi u b'liema ordni. Aqra t-tnejn qabel ma teditja xejn, għax ċaħda preċedenti fuq ir-regola tiegħek tispjega l-istess sintomu mingħajr ebda regola neqsin.

Ikteb l-iktar regola tar-rotta dejqa li taqbel

F'dan l-eżempju l-klijenti jaslu fuq tun0 minn 172.20.8.0/24, is-servizz jisma' fuq 10.30.0.15 fil-port 8443, u l-gateway joħroġ permezz ta' ens5. Dawk il-valuri ntgħażlu biex ma jixbħu xejn default ta' VPC fil-cloud ta' 10.0.0.0/16 jew netwerk tad-dar ta' 192.168.0.0/16, u 8443 iżomm l-eżempju 'l bogħod mis-semmiegħ 443 tal-gateway innifsu.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

It-tħaddim niexef jipprinta s-sett ta' regoli li jirriżulta, u dik hija l-orħos triq biex tara jekk ir-regola tiegħek taqax qabel jew wara ċaħda eżistenti. Ivverifika l-ismijiet tal-interfaces u l-indirizzi interni kontra l-implimentazzjoni u mhux kontra l-eżempju, u ftakar li meta n-NAT tad-destinazzjoni jaħdem l-ewwel, il-filtru jara d-destinazzjoni tradotta.

Żomm il-passaġġ lura bl-istat

UFW jittraċċa l-konnessjonijiet permessi, għalhekk it-tweġibiet għal fluss mgħoddi permess jiġu ammessi mingħajr regola maqluba espliċita. Li żżid regola bla restrizzjoni fid-direzzjoni opposta biex l-affarijiet jaħdmu twessa' l-politika ferm lil hinn mis-servizz wieħed u mhijiex meħtieġa għal skambju normali ta' talba u tweġiba. Żomm il-passaġġ lura impliċitu u s-sett ta' regoli li jinqara.

Applika r-regola biss wara li t-tħaddim niexef jaqbel mal-intenzjoni tiegħek, imbagħad ikkonferma li l-lista ordnata turiha fil-pożizzjoni mistennija. Żomm is-semmiegħ tal-VPN u r-regoli tal-ġestjoni bħala kwistjonijiet separati, għax li tbiddilhom hija deċiżjoni differenti milli tammetti applikazzjoni waħda. Innota l-bidla fl-istess post fejn hija miktuba t-topoloġija, sabiex l-inġinier li jmiss ma jkollux jerġa' jiskopriha minn qabda ta' pakketti.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Iċċekkja x'ma jistax UFW jinfurza għalik

Regola tajba xorta għandha bżonn il-ġbir fil-qalba u rotta li tasal għas-servizz. Ikkonferma t-tnejn qabel ma tagħti t-tort lill-firewall it-tieni darba.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Imbagħad ħares barra mill-host. Fuq istanza fil-cloud, il-politika tal-UFW tal-mistieden ma tissostitwixxix il-gruppi tas-sigurtà, l-ACL tas-subnet jew il-konfigurazzjoni tal-ġbir tal-fornitur innifsu, għalhekk blokk lokali hija prova dwar saff wieħed u mhux il-prova li kull saff ieħor jippermetti s-servizz.

Iffinalizza billi tittestja konnessjoni ġdida b'firewall mixgħul, minn sors permess u minn ieħor mhux relatat. L-iżattivar tal-UFW ineħħi s-sintomu u jeqred il-prova fl-istess kmand, u għalhekk għandu jkun l-aħħar esperiment u mhux l-ewwel.