ਨਵਾਂ UFW ਨਿਯਮ, ਪੁਰਾਣਾ ਕਨੈਕਸ਼ਨ: ਸਥਾਪਿਤ ਸਥਿਤੀ ਜਿੱਤਦੀ ਹੈ

ਇਨਕਾਰ ਨਿਯਮ ਜੋੜ ਕੇ ਖੁੱਲ੍ਹੀ ਡਾਊਨਲੋਡ ਚੱਲਦੀ ਦੇਖਣਾ UFW ਦੀ ਬੱਗ ਨਹੀਂ ਹੈ। ਤੁਹਾਡਾ ਜੋੜਿਆ ਨਿਯਮ ਉਹਨਾਂ ਨਿਯਮਾਂ ਤੋਂ ਬਾਅਦ ਆਉਂਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਇਸ ਵਹਾਅ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਮਨਜ਼ੂਰ ਕੀਤਾ ਹੈ, ਅਤੇ ਪਹਿਲਾਂ ਸਥਾਪਿਤ ਹੋਇਆ ਕਨੈਕਸ਼ਨ ਉਹਨਾਂ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਰਹਿੰਦਾ ਹੈ। ਇਸ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ ਸਹੀ ਥਾਂ 'ਤੇ ਪਾਉਣਾ ਅਤੇ ਇਹ ਸਮਝਣਾ ਪੈਂਦਾ ਹੈ ਕਿ ਪਹਿਲਾਂ ਦੇ ਨਿਯਮ ਕੀ ਵਾਅਦਾ ਕਰਦੇ ਹਨ। ਉਸ ਬਦਲਾਅ ਦਾ ਸੰਕੁਚਿਤ ਰੂਪ ਅੱਗੇ ਹੈ।

ਨਿਯਮ ਦੀ ਹੋਂਦ ਨਹੀਂ, ਕ੍ਰਮ ਫੈਸਲਾ ਕਰਦਾ ਹੈ

UFW ਇੱਕ ਫਰੰਟ ਐਂਡ ਹੈ ਜੋ netfilter ਨਿਯਮ ਪੜਾਵਾਂ ਵਿੱਚ ਲਿਖਦਾ ਹੈ: ਵਰਤੋਂਕਾਰ ਨਿਯਮਾਂ ਤੋਂ ਪਹਿਲਾਂ ਚੱਲਣ ਵਾਲਾ ਫਰੇਮਵਰਕ ਹਿੱਸਾ, ਫਿਰ ਵਰਤੋਂਕਾਰ ਨਿਯਮ ਖੁਦ, ਫਿਰ ਉਹਨਾਂ ਤੋਂ ਬਾਅਦ ਚੱਲਣ ਵਾਲਾ ਹਿੱਸਾ। ਮਿਆਰੀ ਪਹਿਲੇ ਨਿਯਮ ਸਥਾਪਿਤ ਅਤੇ ਸੰਬੰਧਿਤ ਕਨੈਕਸ਼ਨਾਂ ਦਾ ਟ੍ਰੈਫਿਕ ਮਨਜ਼ੂਰ ਕਰਦੇ ਹਨ, ਅਤੇ ਉਹ ਨਿਯਮ ਤੁਹਾਡੇ ਵੱਲੋਂ ਸਾਧਾਰਨ allow ਜਾਂ deny ਨਾਲ ਜੋੜੀ ਕਿਸੇ ਵੀ ਚੀਜ਼ ਤੋਂ ਪਹਿਲਾਂ ਮੁੱਲਾਂਕਣ ਹੁੰਦੇ ਹਨ। UFW ਕਮਾਂਡ ਸੰਦਰਭ ਪਾਉਣ ਦੇ ਸੰਟੈਕਸ ਅਤੇ ਉਸ ਨੰਬਰ ਵਾਲੇ ਸਥਿਤੀ ਦ੍ਰਿਸ਼ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦਾ ਹੈ ਜਿਸ 'ਤੇ ਇਹ ਬਦਲਾਅ ਨਿਰਭਰ ਹੈ।

ਇਹੀ ਕ੍ਰਮ ਹੈਰਾਨੀ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ। ਤੁਹਾਡਾ ਨਵਾਂ ਨਿਯਮ ਅਸਲੀ ਹੈ ਅਤੇ ਸਹੀ ਟੇਬਲ ਵਿੱਚ ਹੈ, ਪਰ ਇਹ ਪੈਕੇਟ ਸਾਹਮਣੇ ਆਉਣ ਵਾਲਾ ਪਹਿਲਾ ਫੈਸਲਾ ਨਹੀਂ ਹੈ। ਪਹਿਲਾਂ ਹੀ ਸਥਾਪਿਤ ਵਜੋਂ ਟ੍ਰੈਕ ਹੋ ਰਿਹਾ ਕਨੈਕਸ਼ਨ ਉੱਥੇ ਕਦੇ ਨਹੀਂ ਪਹੁੰਚਦਾ।

ਇਸ ਕੰਮ ਲਈ route ਨਿਯਮ ਵਰਤੋ, ਕਿਉਂਕਿ ਪੈਕੇਟ ਗੇਟਵੇ ਦੀਆਂ ਆਪਣੀਆਂ ਸੇਵਾਵਾਂ ਨੂੰ ਸੰਬੋਧਿਤ ਨਹੀਂ ਸਗੋਂ ਗੇਟਵੇ ਵਿੱਚੋਂ ਫਾਰਵਰਡ ਹੁੰਦਾ ਹੈ। ਇਨਪੁਟ ਨਿਯਮ ਗਲਤ ਟ੍ਰੈਫਿਕ ਫਿਲਟਰ ਕਰਦਾ ਅਤੇ ਕੁਝ ਨਾ ਕਰਦਾ ਦਿਸਦਾ।

ਵਿਆਪਕ ਇਜਾਜ਼ਤ ਦੇ ਉੱਪਰ ਪਾਓ

ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪਾਉਣ ਦਾ ਪੂਰਵਦਰਸ਼ਨ ਕਰੋ ਅਤੇ ਪੱਕਾ ਕਰੋ ਕਿ ਨਿਯਮ ਸੂਚੀ ਵਿੱਚ ਕਿਤੇ ਹੋਰ ਪਹਿਲਾਂ ਹੀ ਨਹੀਂ ਹੈ। ਇੱਕੋ ਜਿਹੀ ਨੀਤੀ ਦੀ ਨਕਲ ਕਰਨਾ ਬਾਅਦ ਵਿੱਚ ਹਟਾਉਣ ਨੂੰ ਅਸਪਸ਼ਟ ਬਣਾ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਗਲਤ ਕਾਪੀ ਹਟਾਉਣ ਵਾਲੇ ਨੂੰ ਹਫ਼ਤਿਆਂ ਤੱਕ ਪਤਾ ਨਹੀਂ ਲੱਗੇਗਾ।

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

ਜੇ ਪੂਰਵਦਰਸ਼ਨ ਵਿੱਚ ਉਮੀਦ ਕੀਤੀ ਥਾਂ 'ਤੇ ਠੀਕ ਇੱਕ ਹੀ ਨਿਯਮ ਦਿਸਦਾ ਹੈ, ਤਾਂ dry-run ਫਲੈਗ ਤੋਂ ਬਿਨਾਂ ਉਹੀ ਕਮਾਂਡ ਲਾਗੂ ਕਰੋ। ਥਾਂ 1 ਇਸ ਨੂੰ ਵਧੇਰੇ ਵਿਆਪਕ ਵਰਤੋਂਕਾਰ ਇਜਾਜ਼ਤਾਂ ਦੇ ਉੱਪਰ ਰੱਖਦਾ ਹੈ, ਪਹਿਲਾਂ ਚਰਚਾ ਕੀਤੇ ਫਰੇਮਵਰਕ ਨਿਯਮਾਂ ਦੇ ਉੱਪਰ ਨਹੀਂ। ਪੱਕਾ ਕਰੋ ਕਿ ਇੰਟਰਫੇਸ ਦਾ ਨਾਂ ਇਸ ਗੇਟਵੇ 'ਤੇ ਟਨਲ ਜੰਤਰ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਹੁਣ ਨਾ ਰਹੇ ਇੰਟਰਫੇਸ ਨਾਲ ਬੱਝਿਆ ਨਿਯਮ ਸੂਚੀ ਵਿੱਚ ਬੈਠ ਕੇ ਸਹੀ ਦਿਸੇਗਾ ਪਰ ਕਿਸੇ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਏਗਾ। ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜੰਤਰ ਦਾ ਹਵਾਲਾ ਬਦਲੋ, ਟੈਸਟ ਫੇਲ੍ਹ ਹੋਣ ਤੋਂ ਬਾਅਦ ਨਹੀਂ।

ਉਸ ਨਿਯਮ ਵਿੱਚ ਕੋਈ ਮੰਜ਼ਿਲ ਪੋਰਟ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਇਹ ਉਸ ਪਤੇ 'ਤੇ ਸਿਰਫ਼ HTTPS ਨਹੀਂ ਸਗੋਂ ਹਰ TCP ਪੋਰਟ ਨੂੰ ਇਨਕਾਰ ਕਰਦਾ ਹੈ। ਜੇ ਮਕਸਦ ਇੱਕੋ ਸੇਵਾ ਹੈ ਤਾਂ ਪੋਰਟ ਦਾ ਨਾਂ ਦਿਓ; ਨੀਤੀ ਨਾਲੋਂ ਵਿਆਪਕ ਨਿਯਮ ਪਹਿਲੇ ਪਾਠਕ ਦੀ ਉਡੀਕ ਕਰਦੀ ਭਵਿੱਖੀ ਘਟਨਾ ਹੈ।

ਸਰੋਤ ਨੂੰ ਇੱਕੋ ਪਤੇ ਤੱਕ ਸੀਮਤ ਕਰੋ, ਉਹ ਪਤਾ ਲੋੜੀਂਦੀ ਪਛਾਣ ਨਾਲ ਬੱਝਿਆ ਹੋਵੇ ਤਾਂ ਹੀ। ਗਤੀਸ਼ੀਲ ਵੰਡ ਵਾਲਾ VPN ਪੂਲ ਕੱਲ੍ਹ ਉਹੀ ਪਤਾ ਕਿਸੇ ਹੋਰ ਕਲਾਇੰਟ ਨੂੰ ਦੇ ਸਕਦਾ ਹੈ, ਅਤੇ ਇਨਕਾਰ ਵਿਅਕਤੀ ਦੀ ਥਾਂ ਪਤੇ ਦਾ ਪਿੱਛਾ ਕਰੇਗਾ।

ਸਥਾਪਿਤ ਵਹਾਅ ਨਵੇਂ ਨਿਯਮ ਤੋਂ ਬਚੇ ਰਹਿੰਦੇ ਹਨ

ਕਨੈਕਸ਼ਨ ਟ੍ਰੈਕਿੰਗ ਹੀ ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਦੇ ਚੱਲਦੇ ਰਹਿਣ ਦਾ ਕਾਰਨ ਹੈ। ਵਹਾਅ ਸਥਾਪਿਤ ਵਜੋਂ ਦਰਜ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਪਹਿਲੇ ਨਿਯਮ ਤੁਹਾਡੇ ਇਨਕਾਰ ਨੂੰ ਵੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਉਸ ਦੇ ਪੈਕੇਟ ਮਨਜ਼ੂਰ ਕਰ ਲੈਂਦੇ ਹਨ, ਅਤੇ ਤਬਾਦਲਾ ਕੁਝ ਨਾ ਬਦਲਿਆ ਹੋਣ ਵਾਂਗ ਮੁੱਕ ਜਾਂਦਾ ਹੈ। ਇਸ ਲਈ ਖੁੱਲ੍ਹੇ ਕਨੈਕਸ਼ਨ ਨੂੰ ਦੁਬਾਰਾ ਵਰਤਣ ਵਾਲੇ ਬ੍ਰਾਊਜ਼ਰ ਨਾਲ ਟੈਸਟ ਨਵੀਂ ਨੀਤੀ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ। ਇਨਕਾਰ ਤੈਨਾਤੀ ਤੋਂ ਕੁਝ ਮਿੰਟਾਂ ਬਾਅਦ ਬੇਕਾਰ ਲੱਗ ਸਕਦਾ ਹੈ ਅਤੇ ਅਗਲੇ ਜੁੜਨ ਵਾਲੇ ਵਰਤੋਂਕਾਰ ਲਈ ਪੂਰੀ ਤਰ੍ਹਾਂ ਪ੍ਰਭਾਵੀ ਹੋ ਸਕਦਾ ਹੈ।

ਜੇ ਲੋੜ ਵਿੱਚ ਚੱਲ ਰਿਹਾ ਟ੍ਰੈਫਿਕ ਕੱਟਣਾ ਸ਼ਾਮਲ ਹੈ, ਤਾਂ ਇਹ ਵਰਤੋਂਕਾਰ-ਨਿਯਮ ਬਦਲਾਅ ਉਹ ਨਹੀਂ ਦੇ ਸਕਦਾ। ਟ੍ਰੈਕ ਕੀਤੀ ਸਥਿਤੀ ਰੱਦ ਕਰਨਾ ਆਪਣੇ ਪ੍ਰਭਾਵ ਦਾਇਰੇ ਵਾਲੀ ਵੱਖਰੀ ਕਾਰਵਾਈ ਹੈ, ਅਤੇ ਇਹ ਨਿਯਮ ਜੋੜਨ ਵਾਲੇ ਦੀ ਨਹੀਂ ਸਗੋਂ ਫਾਇਰਵਾਲ ਮਾਲਕ ਦੀ ਹੈ। ਇੱਕ ਸੈਸ਼ਨ ਗ਼ਾਇਬ ਕਰਨ ਲਈ ਗੇਟਵੇ 'ਤੇ ਹਰ ਕਨੈਕਸ਼ਨ ਖਾਲੀ ਕਰਨਾ ਉਹ ਕਿਸਮ ਦਾ ਸੁਧਾਰ ਹੈ ਜੋ ਦੂਜੀ ਘਟਨਾ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਸੀਮਾਵਾਂ ਵੀ ਯਾਦ ਰੱਖੋ। ਇਹ ਨਿਯਮ ICMP, UDP ਜਾਂ IPv6 ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ, ਇਸ ਲਈ ਸਫਲ ping ਇਨਕਾਰ ਫੇਲ੍ਹ ਹੋਣ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ। ਇੱਕ IPv4 ਪਤਾ ਵੀ ਵੈੱਬਸਾਈਟ ਨਹੀਂ ਹੈ: ਨਾਂ ਕਈ ਪਤਿਆਂ ਵਿੱਚ ਹੱਲ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਤੁਹਾਡੇ ਦੱਸੇ ਪਤੇ ਹੀ ਕਵਰ ਹੁੰਦਾ ਹੈ।

ਨਵੇਂ ਵਹਾਅ ਨਾਲ ਟੈਸਟ ਕਰੋ

ਨੰਬਰ ਵਾਲੇ ਵਰਤੋਂਕਾਰ ਨਿਯਮ ਅਤੇ ਪ੍ਰਭਾਵੀ ਕੱਚਾ ਦ੍ਰਿਸ਼ ਪੜ੍ਹੋ, ਫਿਰ ਚੁਣੇ ਕਲਾਇੰਟ ਤੋਂ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

ਕੱਚਾ ਦ੍ਰਿਸ਼ ਜ਼ਰੂਰੀ ਹੈ ਕਿਉਂਕਿ status ਹੱਥ ਨਾਲ ਲਿਖੇ ਫਰੇਮਵਰਕ ਨਿਯਮ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਕ੍ਰਮ ਕਰਨਲ ਦੇ ਲਾਗੂ ਕਰਨ ਨਾਲੋਂ ਵੱਖਰਾ ਦਿਸ ਸਕਦਾ ਹੈ। ਇਹ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਕੋਈ ਨਿਯਮ ਗਲਤ ਥਾਂ ਹੈ, ਦੋਵਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ।

ਫਿਰ ਦੋ ਨਿਯੰਤਰਣ ਜਾਂਚੋ ਜੋ ਸਾਬਤ ਕਰਦੇ ਹਨ ਕਿ ਨਿਯਮ ਸੰਕੁਚਿਤ ਹੈ, ਵਿਆਪਕ ਨਹੀਂ: ਉਸੇ ਕਲਾਇੰਟ ਤੋਂ ਮਨਜ਼ੂਰ ਮੰਜ਼ਿਲ ਅਜੇ ਵੀ ਕੰਮ ਕਰਦੀ ਹੈ, ਅਤੇ ਦੂਜਾ ਕਲਾਇੰਟ ਆਪਣੀ ਨੀਤੀ ਮਨਜ਼ੂਰ ਹੋਣ 'ਤੇ ਇਨਕਾਰ ਕੀਤੀ ਮੰਜ਼ਿਲ ਤੱਕ ਅਜੇ ਵੀ ਪਹੁੰਚਦਾ ਹੈ। ਜੋ ਇਨਕਾਰ ਦੋਵੇਂ ਟੈਸਟ ਤੋੜ ਦੇਵੇ ਉਹ ਨੀਤੀ ਬਦਲਾਅ ਹੈ, ਨਿਸ਼ਾਨਾ ਕਦਮ ਨਹੀਂ।

ਟੈਸਟ ਮੁੱਕਣ ਤੋਂ ਬਾਅਦ ਸਿਰਫ਼ ਤੁਹਾਡਾ ਜੋੜਿਆ ਨਿਯਮ ਹਟਾਓ, ਉਸ ਨੂੰ ਬਿਲਕੁਲ ਦੁਹਰਾ ਕੇ। ਜੇ ਨੀਤੀ ਸਥਾਈ ਹੈ ਤਾਂ ਕਲਾਇੰਟ ਪਛਾਣ, ਮੰਜ਼ਿਲ ਦਾ ਮਾਲਕ ਅਤੇ ਸਮੀਖਿਆ ਮਿਤੀ ਨਾਲ ਉਹ ਫਾਇਰਵਾਲ ਮਾਲਕ ਨੂੰ ਸੌਂਪੋ, ਤਾਂ ਜੋ ਮੁੜ ਨਿਯਤ ਕੀਤਾ ਟਨਲ ਪਤਾ ਪੁਰਾਣਾ ਇਨਕਾਰ ਪਿੱਛੇ ਨਾ ਛੱਡੇ।