Ein brannmur i ein Linux-distribusjon kan blokkere VPN-trafikken din

Tunnelen kjem opp, loggen seier tilkopla, og ein applikasjon når framleis ingenting. På ein Linux-klient betyr det vanlegvis at brannmuren til distribusjonen filtrerer ein veg som VPN-klienten aldri administrerte. To administratorar kan vere aktive samstundes, kvar med sine eigne førestillingar om grensesnittet, sona og trafikkretninga. Å identifisere eigaren før ein endrar noko er raskare enn å prøve reglar til noko verkar.

Finn administratoren og backend-en

Byrj med det som faktisk er lasta, ikkje det som er installert. Ein distribusjon kan levere firewalld, ufw og ein vanleg nftables-teneste, og berre éin av dei eig det køyrande regelsettet. Pakkane sameksisterer fredeleg, og ein regel som blir lagt inn gjennom feil frontend, når aldri kjernen. Les den aktive tenesta, og les deretter regelsettet ho produserte.

Backend-en betyr like mykje som frontend-en. Ein firewalld-installasjon kan drive nftables eller den gamle iptables-backend-en avhengig av versjon og konfigurasjon, og dei to gir ulik inspeksjonsutdata. Skriv distribusjonen, versjonen og backend-en i saka før du samanliknar systemet ditt med noka rettleiing.

Tilpass retninga og grensesnittet

Ein utgåande klientførespurnad, ein inngåande lyttar og ein vidaresend pakke passerer ulike krokar, og ein regel for éin dekkjer ikkje dei andre. Ei sone som tillèt det lokale LAN-et, omfattar ofte ikkje tunnelgrensesnittet eller VPN-adressepoolen. Eit tunnelgrensesnitt landar vanlegvis i standardsona, som ofte er strengare enn sona den fysiske adapteren ligg i. Denne uoverensstemminga forklarar kvifor surfing verkar på LAN-et og stoppar i det augneblinken tunnelen kjem opp.

Spør kva retning som feila før du vel ein regel. Ein applikasjon som ikkje kan kople seg utover, treng utvegen, medan ei inngåande teneste treng innvegen på tunnelgrensesnittet. Å leggje ein regel til feil kjede gir ei endring som ser brukt ut og ikkje gjer noko som helst.

Hald regeleeigarane samstemte

Kroken til ein VPN-klient, eit container-runtime og tenesta til distribusjonen kan alle endre nettverket, og dei koordinerer ikkje med kvarandre. Handinnskrivne reglar forsvinn ved neste innlasting, og reglar som blir sette inn i kjeda til ein administrator, kan bli vurderte i ei rekkjefølgje du ikkje hadde tenkt. Bruk den varige konfigurasjonen til administratoren og inspiser det resulterande regelsettet i staden for fila du skreiv. Å slå av heile brannmuren fordi éi teneste er utilgjengeleg, byter eit lite problem mot eit stort.

Smale teljarar er den billege måten å finne den avviste straumen. Ein loggregel avgrensa til éin destinasjon og éin port viser om droppet skjer lokalt utan å fange trafikken til andre. Fjern loggregelen når undersøkinga er over, sidan han er diagnostikk og ikkje policy, og sonedokumentasjonen til firewalld forklarar korleis grensesnitt og tenester blir kombinerte.

Kontroller rettinga utan å miste innlåsinga

Inspiser den brukte tilstanden med administratoren som eig han, ved hjelp av kommandoar som svarar til backend-en du noterte. Lista nedanfor føreset at firewalld har ansvaret; byt ut med ekvivalenten for nftables eller ufw i staden for å køyre alle. Å blande verktøy i éi økt er korleis ein maskin endar opp med to motstridande regelsett.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Den første kommandoen namngir sonene og grensesnitta som er tildelte dei, noko som viser kvar tunnelen faktisk landa. Den andre skriv ut reglane og tenestene til ei sone, slik at du kan sjå om VPN-grensesnittet er dekt i det heile. nftables-lista er grunnsanninga for backend-en som blir brukt, og ein regel som berre finst i ei konfigurasjonsfil, blir ikkje vist der. Samanlikn dei tre utdataa med regelen du la til, og uoverensstemminga namngir vanlegvis seg sjølv.

Deretter gjenta den opphavlege førespurnaden og feilåtferda du krev. Eit nyfungerande nettstad er ikkje nok om den same endringa fjerna innlåsinga til klienten, så test også ein uverna veg. Noter administratoren, backend-en, grensesnittet og føremålet med regelen, fordi ei pakkeoppdatering som vekkjer ein annan administrator elles byggjer opp heile rotet på nytt.