Is-swiċċ ta' emerġenza tal-UFW qed jimblokka l-VPN tiegħek? Ħalli l-peer

Inti segwejt il-lista ta' kontroll: irrifjuta l-ħruġ, ippermetti t-tunnel, ippermetti ufw. Imbagħad il-klijent jistenna fil-handshake u qatt ma jgħaqqad, jew jgħaqqad u l-ebda paġna ma tgħabbi. Iż-żewġ fallimenti ġejjin mill-istess vojt. Ir-regola li tħalli t-tunnel jeżisti hija neqsin, għax it-tunnel mhuwiex interface li minnu joħorġu l-pakketti tiegħek.

Għaliex permess fuq tun0 ma jaqbel ma' xejn fil-bidu

tun0 jinħoloq mill-klijent wara li teżisti sessjoni. Id-datagrammi li jibnu dik is-sessjoni huma pakketti UDP ordinarji indirizzati lill-fornitur fuq il-port 1194, u joħorġu minn wlan0 jew eth0 bl-indirizz sors fiżiku. allow out on tun0 jaqbel biss mat-traffiku li l-interface tal-ħruġ tiegħu hija tun0, għalhekk waqt il-handshake ma jaqbel ma' xejn.

Poġġi default deny outgoing fuq dan u l-pakketti ta' barra jintremew qabel ma l-interface tidher xejn. Il-klijent jerġa' jipprova, jispiċċa l-ħin u jirrapporta falliment TLS jew handshake, li jibgħat lin-nies ifittxu fiċ-ċertifikati u MTU filwaqt li l-firewall bil-kwiet jiekol il-konnessjoni. Ir-regola li kellha żżomm it-traffiku tiegħek qed tipprevjeni lil dak it-traffiku milli jinżamm.

Is-soluzzjoni riflessa tagħmel it-tnixxija permanenti. sudo ufw allow out on wlan0, jew li terġa' ddawwar il-default għal ippermetti, tqajjem it-tunnel u tħalli l-magna mingħajr swiċċ ta' emerġenza: id-darba li jmiss li t-tunnel jaqa', kollox jerġa' jibda mill-adapter fiżiku. Jien tlajt wara nofsinhar fuq eżatt dak il-par emendi qabel ma sibt liema pakkett kont qed niffiltra tassew.

Xi jkollhom bżonn iż-żewġ settijiet ta' pakketti

It-traffiku tiegħek jaqsam il-firewall darbtejn, f'żewġ forom. Il-pakkett ta' ġewwa joħroġ mill-indirizz tat-tunnel 'il barra permezz ta' tun0. Il-pakkett ta' barra jmur mill-indirizz fiżiku għall-peer, u huwa l-unika ħaġa li tidher fuq il-wajer. Regola waħda għal kull forma:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Ibdel l-indirizz u l-port b'dawk mill-profil tiegħek. Il-peer ta' WireGuard normalment iwieġbu fuq 51820/udp; il-profili ta' OpenVPN li jgħaddu minn TCP 443 jeħtieġu dak il-port minflok. Id-dettalji jvarjaw, il-forma le: iż-żewġ regoli huma dojoq, u flimkien jiddefinixxu l-uniċi destinazzjonijiet li l-magna tista' tilħaq waqt li t-tunnel ikun niżel.

L-ordni huwa t-tieni mit. B'iptables nejji taqra l-katina minn fuq għal isfel u targumenta liema regola tirbaħ. ufw mhuwiex qoxra rqiqa madwar il-lista li ttajpjajt; huwa jikkompila r-regoli tiegħek fil-katini tiegħu stess u jagħżel il-punti tal-inserzjoni. ufw status jipprintjahom fl-ordni ta' ufw, mhux tiegħek. Meta regola tidher injorata, qabbel ufw show added mas-sett kompilat minn iptables -S | grep ufw qabel ma terġa' tikteb xi ħaġa.

L-eċċezzjoni trid tibqa' wiesgħa indirizz wieħed

Regola tal-peer hija korretta biss sakemm issemmi l-indirizz li l-klijent idawwal. Il-fornituri jdawru l-punti tat-tmiem, u profil li jsolvi hostname se jsegwi bidla fid-DNS għal indirizz ġdid filwaqt li r-regola tibqa' tindika lejn dak l-antik. Meta tunnel li ħadem għal xhur jieqaf jinħareġ, qabbel l-indirizz fir-regola ma' dak li l-klijent qed ifittex qabel ma twessa' xi ħaġa.

It-twessigħ għal subnet sħiħa, jew għal kull destinazzjoni fuq il-port 1194, iddawwar il-politika lura għal firewall b'toqba. L-eċċezzjoni hija s-swiċċ ta' emerġenza; ladarba tkun wiesgħa, ma jibqa' xejn x'jitfi. Żommha fuq indirizz wieħed u ħalli kumment li jsemmi l-profil u l-fornitur li tagħha, għax fi tliet xhur l-indirizz se jidher arbitrarju.

Ir-riżoluzzjoni tal-ismijiet jistħoqqilha linja tagħha. It-tiftixa sseħħ qabel ma jeżisti t-tunnel, fuq l-interface fiżika, għalhekk politika stretta ta' rifjut tal-ħruġ tista' tħalli lill-klijent ma jistax isib is-server tiegħu stess. Ippermetti l-port 53 lejn l-indirizz tar-resolver tiegħek, jew solvi darba waħda u waħħal l-indirizz fil-profil. L-ippermetter tad-DNS fuq kull interface hija deċiżjoni, mhux default.

Ibni l-politika qabel ma jkun meħtieġ it-tunnel

ufw enable japplika l-politika kollha f'daqqa u jerġa' jgħabbi l-katini tiegħu, u t-tibdil ta' politika default fuq firewall li qed jaħdem jerġa' jgħabbihom ukoll. Il- manwal ta' ufw jwissi li dan jista' jwaqqa' konnessjonijiet eżistenti bħal SSH. Għalhekk il-kmandi jmorru f'dan l-ordni, bir-regola SSH qabel l-attivazzjoni u sessjoni tal-console miftuħa:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset huwa mħolli barra minn dak il-blokk apposta. Iħassar kull regola u jiddiżattiva l-firewall, u fuq host remot l-attivazzjoni ta' wara hija dik li twaqqa' s-sessjoni tiegħek. Jekk xorta tagħmel reset, żid ir-regola SSH u kkonferma t-tieni triq lura permezz ta' console qabel ma tmur aktar 'il quddiem.

L-ordni mhuwiex kosmetiku. Ir-regoli miżjuda waqt li ufw qed jaħdem ma jbattlux xejn, imma fil-mument li ddawwar politika default il-katini jerġgħu jgħabbu, u sessjoni li kienet permessa mill-politika l-qadima tmur magħhom. Agħmel id-defaults, il-permessi u l-attivazzjoni f'waħda, sakemm għadek għandek triq 'il ġewwa li ma tiddependix mill-magna.

Ittestja l-istat imblukkat, u żomm it-treġġigħ lura

Swiċċ ta' emerġenza li ma ġiex ittestjat huwa preżunzjoni. Aqla' l-klijent apposta u pprova tgħabbi paġna: trid tfalli. Erġa' qabbad u trid tirkupra mingħajr ma tmiss regola. sudo ufw status verbose jikkonferma d-defaults u l-istat tal-logging, u ufw status numbered juri liema regola tat-test tħassar meta tgħix aktar mill-iskop tagħha.

Żomm l-iskript maqlub ħdejn dak 'il quddiem. Magna b'rifjut tal-ħruġ u tunnel mejjet ma tistax tniżżel it-tiswija tagħha stess, għalhekk it-treġġigħ lura jrid ikun fuq id-diska u jinqara minn console:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Ħaddmu meta t-tunnel ikun diġà niżel u r-regoli jridu jitneħħew, mhux bħala pass ta' rutina. Qabel ma tagħlaq it-terminal, erba' affarijiet iridu jżommu: ir-regola tal-peer issemmi eżattament indirizz wieħed, id-DNS għandu eċċezzjoni msemmija, l-attivazzjoni ġiet wara l-permessi, u ġbid it-tunnel joqtol it-traffiku ordinarju mingħajr ma joqtol il-klijent għal dejjem.