UFW-unntak for VPN når endepunktadressa blir endra

Klienten prøver å kople til på nytt, og ingenting forlèt maskinen, sjølv om same profil fungerte førre veke. Vertsnamnet til endepunktet blir no løyst opp til ei anna adresse, og unntaket for utgåande trafikk nemner framleis den gamle. Den eine forelda løyva er nok til å gjere ein fungerande kill switch om til eit totalt avbrot, og ho er usynleg i kvar statusindikator skrivebordet viser. Reparasjonen er ein liten arbeidsflyt, ikkje ei endring på éi linje.

Tunnelen koplar til på nytt, og så forlèt ingenting maskinen

Ein utgåande regel som nemner ei målsetnadsadresse er eit augneblinksbilete, og DNS-svar er det ikkje. Når leverandøren roterer ei adresse, passar ikkje pakken klienten sender mot den nye peeren til noko og blir sleppt av standardnektinga. Klienten rapporterer då ein tidsavbrot, som høyrest ut som eit tenarproblem snarare enn eit brannmurproblem.

Å låse adressa eit offentleg oppslag returnerer får det til å verke i dag og lèt morgondagen vere øydelagd. Det er ei eingongsendring, ikkje ein vedlikehaldspolicy.

Skildre unntaket du faktisk meiner

Byrja med å skrive ned dei fire verdiane regelen treng: det godkjende endepunktnamnet eller adresseområdet, transporten, målsetnadsporten og grensesnittet pakken forlèt gjennom. Alle fire er ein del av løyva, og kva som helst av dei kan vere feil medan regelen framleis ser rimeleg ut. Ein regel som er riktig på tre av dei, feilar nøyaktig som ein regel som er feil på alle fire. Skriv dei ned før du skriv kommandoen, for ein regel er berre så god som skildringa bak han.

Kommandoen nedanfor viser forma for eitt IPv4 UDP-endepunkt på ein kabelbunden uplink. Byt ut begge verdiane med dei du stadfesta mot utrullinga.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Den løyva autoriserer ikkje vilkårlege mål på same port, opprettar ikkje ein lyttar og dekkjer ikkje TCP. UFW-manualsida skildrar korleis adresse, grensesnitt og protokoll snevrar inn ein regel, og den innsnevringa er heile poenget.

Forny det som éin arbeidsflyt

Handter unntaket som ein ressurs med ein eigar og ein overgang, ikkje som ein kommando nokon hugsar å køyre. Skaff først ein kandidat frå utrullinga sin eigen resolver og endepunktinventar, og definer medvite korleis det namnet blir løyst opp før tunnelen finst. Valider deretter kandidaten mot den tiltenkte protokollen, porten og adressefamilien før du rører regelverket.

Installer først den nye snevre løyva og stadfest at ho vart lasta, for å be klienten bruke ei adresse brannmuren framleis blokkerer gir ein feil som ser ut som ein tenarfeil. Lat urelaterte reglar vere urørte under endringa.

Observer overgangen til klienten gjennom den støtta gjentilkoplingsvegen hans og stadfest kva fjernadresse han valde. Å berre oppdatere DNS flyttar ikkje ein eksisterande socket, og ei innstilling for endepunktspersistens kan halde klienten på den gamle peeren lenge etter at posten er endra.

Til slutt trekkjer du den forelda løyva tilbake med vilje, og tillèt det godkjende overlappvindauget medan ein gammal økt framleis er aktiv. Å fjerne den gamle oppføringa for tidleg gir eit kort avbrot; å late ho bli for alltid etterlèt ei løyve ingen kan forklare.

Trekk den gamle løyva tilbake med vilje

Fjerninga er der mesteparten av risikoen ligg, fordi den gamle regelen er det einaste som verkar akkurat no. Viss installasjonen av kandidaten mislukkast, ikkje hald fram og ikkje slett oppføringa som framleis ber trafikk. Viss sjølve fjerninga mislukkast, registrer den forelda løyva som forelda i staden for å erklære policyen oppdatert.

Gjenta heile gjennomgangen når uplinken skiftar frå Ethernet til Wi-Fi, når transporten blir endra, eller når ein teneste roterer over fleire adresser. Ein grensesnittsspesifikk regel skal slutte å matche etter ei nettverksendring, og den åtferda er riktig sjølv om ho ser ut som ein regresjon.

Prov deretter kontrakten med ufarleg trafikk. Det godkjende endepunktet må vere nåbart under oppsettet, den verna applikasjonen må verke når han er tilkopla, og urelatert direkte trafikk må halde fram med å vere blokkert under eit avbrot. Ta med begge adressefamiliane og eitt medvite mislukka oppdateringsforsøk, sidan ei tilkopling som lukkast etter éi einaste endring av ei låst adresse ikkje provar noko av desse tilfella.