Eċċezzjoni UFW għall-VPN meta l-indirizz tal-punt tat-tmiem jinbidel

Il-klijent jipprova jerġa' jgħaqqad u xejn ma joħroġ mill-magna, għalkemm l-istess profil ħadem il-ġimgħa li għaddiet. L-isem host tal-punt tat-tmiem issa jiġi riżolt f'indirizz differenti, u l-eċċezzjoni tal-ħruġ għadha ssemmi dak il-qadim. Dak il-permess wieħed skadut huwa biżżejjed biex ibiddel kill switch li jaħdem fi tfixkil totali, u huwa inviżibbli f'kull indikatur tal-istat li turi d-desktop. It-tiswija hija fluss tax-xogħol żgħir, mhux modifika ta' linja waħda.

Il-mina terġa' tgħaqqad, u mbagħad xejn ma joħroġ

Regola tal-ħruġ li ssemmi indirizz tad-destinazzjoni hija ritratt tal-mument, u t-tweġibiet DNS mhumiex. Meta l-fornitur idawwar indirizz, il-pakkett li l-klijent jibgħat lejn il-peer il-ġdid ma jaqbel ma' xejn u jinxtorob miċ-ċaħda awtomatika. Il-klijent imbagħad jirrapporta timeout, li jinstema' bħala problema tas-server aktar milli tal-firewall.

Li tiffissa l-indirizz li tirritorna tfittxija pubblika jagħmel illum jaħdem u jħalli għada miksur. Dik hija modifika darba waħda, mhux politika ta' manutenzjoni.

Iddeskrivi l-eċċezzjoni li verament bi ħsiebek

Ibda billi tikteb l-erba' valuri li jeħtieġa r-regola: l-isem jew is-sett ta' indirizzi tal-punt tat-tmiem approvat, it-trasport, il-port tad-destinazzjoni u l-interface li minnha joħroġ il-pakkett. L-erbgħa kollha huma parti mill-permess, u kwalunkwe waħda minnhom tista' tkun ħażina filwaqt li r-regola għadha tidher plawżibbli. Regola li hija korretta fi tlieta minnhom tfalli eżattament bħal regola li hija ħażina fl-erbgħa kollha. Iktibhom qabel ma tittajpja l-kmand, għax regola hija biss tajba daqs id-deskrizzjoni warajha.

Il-kmand hawn taħt juri l-forma għal punt tat-tmiem wieħed IPv4 UDP fuq uplink bil-wajer. Issostitwixxi ż-żewġ valuri b'dawk li vverifikajt kontra d-deployment.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Dak il-permess ma jawtorizzax destinazzjonijiet arbitrarji fuq l-istess port, ma joħloqx listener u ma jkoprix TCP. Il-paġna tal-manwal tal-UFW tiddeskrivi kif l-indirizz, l-interface u l-protokoll jiċċekknu regola, u dak iċ-ċekkin huwa l-punt kollu.

Ġeddedha bħala fluss tax-xogħol wieħed

Ittratta l-eċċezzjoni bħala riżorsa b'sid u tranżizzjoni, mhux bħala kmand li xi ħadd jiftakar iħaddem. L-ewwel ikseb kandidat mir-resolver u mill-inventarju tal-punti tat-tmiem tad-deployment stess, u ddefinixxi b'mod deliberat kif dak l-isem jiġi riżolt qabel ma teżisti l-mina. Imbagħad ivvalida l-kandidat kontra l-protokoll, il-port u l-familja tal-indirizzi maħsuba qabel ma tmiss is-sett tar-regoli.

Installa l-ewwel il-permess dejjaq il-ġdid u kkonferma li ġie mgħobbi, għax li titlob lill-klijent juża indirizz li l-firewall għadu jimblokka jipproduċi falliment li jidher bħal ħsara tas-server. Ħalli regoli mhux relatati ma jintmessux waqt il-bidla.

Osserva t-tranżizzjoni tal-klijent mill-mogħdija tal-qbid mill-ġdid appoġġjata u kkonferma liema indirizz remot għażel. L-aġġornament tad-DNS waħdu ma jċaqlaqx socket eżistenti, u setting tal-persistenza tal-punt tat-tmiem jista' jżomm il-klijent fuq il-peer qadim ħafna wara li nbidel ir-rekord.

Fl-aħħar, irtira l-permess skadut b'mod deliberat, filwaqt li tħalli t-tieqa tal-overlap approvata sakemm sessjoni qadima għadha attiva. It-tneħħija tad-dħul qadim kmieni wisq tipproduċi tfixkil qasir; li tħallih għal dejjem iħalli permess li ħadd ma jista' jispjega.

Irtira l-permess qadim b'mod deliberat

It-tneħħija hija fejn tinsab il-biċċa l-kbira tar-riskju, għax ir-regola qadima hija l-unika ħaġa li qed taħdem bħalissa. Jekk l-installazzjoni tal-kandidat falliet, tkomplix u tħassarx id-dħul li għadu jġorr traffiku. Jekk it-tneħħija stess tfalli, irreġistra l-permess skadut bħala skadut minflok ma tiddikjara l-politika aġġornata.

Irrepeti r-reviżjoni kollha meta l-uplink jinbidel minn Ethernet għal Wi-Fi, meta jinbidel it-trasport, jew meta servizz idur fuq diversi indirizzi. Regola speċifika għall-interface suppost tieqaf taqbel wara bidla fin-netwerk, u dak l-imġieba hija korretta għalkemm tidher bħal rigressjoni.

Ipprova l-kuntratt wara b'traffiku bla ħsara. Il-punt tat-tmiem approvat irid ikun aċċessibbli waqt is-setup, l-applikazzjoni protetta trid taħdem ladarba tkun konnessa, u traffiku dirett mhux relatat irid jibqa' mblukkat waqt tfixkil. Inkludi ż-żewġ familji tal-indirizzi u attentat wieħed ta' aġġornament fallut b'mod deliberat, għax konnessjoni li tirnexxi wara modifika waħda ta' indirizz fissata ma tipprovax xi waħda minn dawk il-każijiet.