VPN ਪਿੱਛੇ ਦੀ ਸੇਵਾ ਲਈ ufw allow 443 ਨੇ ਕੁਝ ਨਹੀਂ ਕੀਤਾ

VPN ਕਲਾਇੰਟ ਤੋਂ ping ਸਫਲ ਹੁੰਦਾ ਹੈ, TCP ਸੇਵਾ ਦਾ ਸਮਾਂ ਖ਼ਤਮ ਹੋ ਜਾਂਦਾ ਹੈ, ਅਤੇ ufw allow 443/tcp ਕੁਝ ਵੀ ਨਹੀਂ ਬਦਲਦਾ। ਜਦੋਂ ਐਪਲੀਕੇਸ਼ਨ ਗੇਟਵੇ 'ਤੇ ਨਹੀਂ ਸਗੋਂ ਗੇਟਵੇ ਪਿੱਛੇ ਦੇ ਹੋਸਟ 'ਤੇ ਚੱਲਦੀ ਹੈ, ਤਾਂ ਉਹ ਇਜਾਜ਼ਤ ਗ਼ਲਤ ਟ੍ਰੈਫਿਕ ਮਾਰਗ ਲਈ ਲਿਖੀ ਗਈ ਸੀ। ਪੈਕਟ ਫਾਇਰਵਾਲ ਨੂੰ ਸੰਬੋਧਿਤ ਨਹੀਂ ਹੈ ਅਤੇ ਕਿਸੇ ਸਥਾਨਕ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਨਹੀਂ ਦਿੱਤਾ ਜਾਂਦਾ, ਇਸ ਲਈ ਇਨਪੁਟ ਨਿਯਮ ਇਸਨੂੰ ਕਦੇ ਨਹੀਂ ਦੇਖਦੇ। ਹੱਲ ਅੱਗੇ ਭੇਜੇ ਜਾ ਰਹੇ ਪ੍ਰਵਾਹ 'ਤੇ ਨਿਸ਼ਾਨਾ ਰੱਖਣ ਵਾਲਾ ਰੂਟ ਨਿਯਮ ਹੈ, ਅਤੇ ਇਸਦਾ ਸਬੂਤ ਪਹਿਲਾਂ ਹੀ ਲੌਗ ਵਿੱਚ ਹੈ।

ਤੈਅ ਕਰੋ ਕਿ ਮੰਜ਼ਿਲ ਸਥਾਨਕ ਹੈ ਜਾਂ ਅੱਗੇ ਭੇਜੀ ਗਈ

ਪੈਕਟ ਨੂੰ ਉਸੇ ਤਰ੍ਹਾਂ ਪੜ੍ਹੋ ਜਿਵੇਂ ਕਰਨਲ ਇਸਨੂੰ ਦੇਖਦਾ ਹੈ। ਗੇਟਵੇ 'ਤੇ ਕਿਸੇ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਾਇਆ ਟ੍ਰੈਫਿਕ ਸਥਾਨਕ ਇਨਪੁਟ ਹੈ। ਗੇਟਵੇ ਜੋ ਟ੍ਰੈਫਿਕ ਕਿਸੇ ਹੋਰ ਹੋਸਟ ਵੱਲ ਭੇਜਦਾ ਹੈ ਉਹ ਅੱਗੇ ਭੇਜਿਆ ਹੋਇਆ ਹੈ, ਅਤੇ UFW ਦੋਵਾਂ ਮਾਰਗਾਂ ਲਈ ਵੱਖਰੇ ਨਿਯਮ-ਸਮੂਹ ਰੱਖਦਾ ਹੈ। ਇਹ ਫ਼ਰਕ ਮੰਜ਼ਿਲ ਪਤਾ ਅਤੇ ਰੂਟਿੰਗ ਖੋਜ ਤੈਅ ਕਰਦੇ ਹਨ, ਇਹ ਨਹੀਂ ਕਿ ਪੈਕਟ ਕਿਸ ਇੰਟਰਫੇਸ 'ਤੇ ਆਇਆ।

IN ਅਤੇ OUT ਦੋਵੇਂ ਫ਼ੀਲਡਾਂ ਵਿੱਚ ਇੱਕੋ ਇੰਟਰਫੇਸ ਦਿਖਾਉਣ ਵਾਲੀ ਲੌਗ ਲਾਈਨ ਫਿਰ ਵੀ ਰੂਟ ਕੀਤੇ ਪੈਕਟ ਦਾ ਵਰਣਨ ਕਰ ਸਕਦੀ ਹੈ, ਕਿਉਂਕਿ ਇੱਕੋ ਡਿਵਾਈਸ ਤੋਂ ਕਲਾਇੰਟਾਂ ਨੂੰ ਅੰਦਰ ਅਤੇ ਬਾਹਰ ਲੈ ਜਾਣ ਵਾਲੀ ਸੁਰੰਗ ਬਿਲਕੁਲ ਇਸੇ ਤਰ੍ਹਾਂ ਦਿਖਦੀ ਹੈ। ਮੰਜ਼ਿਲ ਪਤਾ ਇੰਟਰਫੇਸ ਨਾਵਾਂ ਨਾਲੋਂ ਇਹ ਸਵਾਲ ਜਲਦੀ ਨਿਬੇੜਦਾ ਹੈ। ਇੱਕੋ ਨਾਮ ਦੋ ਵਾਰ ਦੇਖਣਾ ਸਥਾਨਕ ਡਿਲੀਵਰੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਤੈਨਾਤੀ ਨੇ ਕਦੇ ਨਾ ਬਣਾਈ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਘੜਨ ਨਾਲ ਵੀ ਮਦਦ ਨਹੀਂ ਮਿਲਦੀ।

ਕੋਈ ਵੀ ਨਿਯਮ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਬਲਾਕ ਪੜ੍ਹੋ

ਇੱਕ ਅਧਿਕਾਰਤ ਕਨੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰੋ ਅਤੇ ਗੇਟਵੇ ਨੇ ਜਿਵੇਂ ਦਰਜ ਕੀਤਾ ਸੀ ਉਸਦਾ ਸਰੋਤ, ਮੰਜ਼ਿਲ, ਪ੍ਰੋਟੋਕੋਲ ਅਤੇ ਮੰਜ਼ਿਲ ਪੋਰਟ ਕੈਪਚਰ ਕਰੋ। ਉਹ ਚਾਰ ਮੁੱਲ ਲੌਗ ਐਂਟਰੀ ਅਤੇ ਸੇਵਾ ਦੀ ਅਸਲ ਥਾਂ ਨਾਲ ਤੁਲਨਾ ਕਰੋ। ਪਿਛਲਾ ਸਫਲ ping ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਉਸਦਾ ਆਪਣਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਮਨਜ਼ੂਰ ਸੀ, ਅਤੇ ਫਾਇਰਵਾਲ ਐਪਲੀਕੇਸ਼ਨ ਵੱਲ ਜਾਣ ਵਾਲੇ TCP SYN ਨਾਲ ਬਿਲਕੁਲ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰ ਸਕਦਾ ਹੈ।

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

ਪਹਿਲਾ ਹੁਕਮ ਫ਼ੈਸਲਾ ਉਸਦੇ ਫ਼ੀਲਡਾਂ ਸਮੇਤ ਵਾਪਸ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਪਹਿਲਾਂ ਹੀ ਕੀ ਲੋਡ ਹੈ ਅਤੇ ਕਿਸ ਕ੍ਰਮ ਵਿੱਚ। ਕੁਝ ਵੀ ਸੰਪਾਦਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਤੁਹਾਡੇ ਨਿਯਮ ਤੋਂ ਉੱਪਰ ਦਾ ਪੁਰਾਣਾ ਇਨਕਾਰ ਕਿਸੇ ਗੁੰਮ ਨਿਯਮ ਤੋਂ ਬਿਨਾਂ ਵੀ ਉਹੀ ਲੱਛਣ ਸਮਝਾਉਂਦਾ ਹੈ।

ਢੁੱਕਵਾਂ ਸਭ ਤੋਂ ਤੰਗ ਰੂਟ ਨਿਯਮ ਲਿਖੋ

ਇਸ ਉਦਾਹਰਨ ਵਿੱਚ ਕਲਾਇੰਟ 172.20.8.0/24 ਤੋਂ tun0 'ਤੇ ਆਉਂਦੇ ਹਨ, ਸੇਵਾ 8443 ਪੋਰਟ 'ਤੇ 10.30.0.15 'ਤੇ ਸੁਣਦੀ ਹੈ, ਅਤੇ ਗੇਟਵੇ ens5 ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦਾ ਹੈ। ਉਹ ਮੁੱਲ ਇਸ ਲਈ ਚੁਣੇ ਗਏ ਹਨ ਤਾਂ ਜੋ ਉਹ ਕਲਾਉਡ VPC ਦੇ ਡਿਫ਼ਾਲਟ 10.0.0.0/16 ਜਾਂ ਘਰ ਦੇ 192.168.0.0/16 ਵਰਗੇ ਬਿਲਕੁਲ ਨਾ ਲੱਗਣ, ਅਤੇ 8443 ਉਦਾਹਰਨ ਨੂੰ ਗੇਟਵੇ ਦੇ ਆਪਣੇ 443 ਸਰੋਤੇ ਤੋਂ ਦੂਰ ਰੱਖਦਾ ਹੈ।

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

ਡ੍ਰਾਈ ਰਨ ਬਣਨ ਵਾਲਾ ਨਿਯਮ-ਸਮੂਹ ਛਾਪਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡਾ ਨਿਯਮ ਮੌਜੂਦਾ ਇਨਕਾਰ ਤੋਂ ਪਹਿਲਾਂ ਪੈਂਦਾ ਹੈ ਜਾਂ ਬਾਅਦ ਵਿੱਚ, ਇਹ ਵੇਖਣ ਦਾ ਇਹ ਸਭ ਤੋਂ ਸਸਤਾ ਤਰੀਕਾ ਹੈ। ਇੰਟਰਫੇਸ ਨਾਮ ਅਤੇ ਅੰਦਰੂਨੀ ਪਤੇ ਉਦਾਹਰਨ ਨਾਲ ਨਹੀਂ ਸਗੋਂ ਤੈਨਾਤੀ ਨਾਲ ਮਿਲਾਓ, ਅਤੇ ਯਾਦ ਰੱਖੋ ਕਿ ਜਦੋਂ ਮੰਜ਼ਿਲ NAT ਪਹਿਲਾਂ ਚੱਲਦਾ ਹੈ ਤਾਂ ਫ਼ਿਲਟਰ ਅਨੁਵਾਦਿਤ ਮੰਜ਼ਿਲ ਦੇਖਦਾ ਹੈ।

ਵਾਪਸੀ ਮਾਰਗ ਨੂੰ ਸਥਿਤੀ ਸਹਿਤ ਰੱਖੋ

UFW ਮਨਜ਼ੂਰ ਕਨੈਕਸ਼ਨਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਮਨਜ਼ੂਰ ਅੱਗੇ ਭੇਜੇ ਪ੍ਰਵਾਹ ਦੇ ਜਵਾਬ ਸਪਸ਼ਟ ਉਲਟ ਨਿਯਮ ਤੋਂ ਬਿਨਾਂ ਸਵੀਕਾਰ ਹੋ ਜਾਂਦੇ ਹਨ। ਚੀਜ਼ਾਂ ਚੱਲਣ ਲਈ ਉਲਟ ਦਿਸ਼ਾ ਵਿੱਚ ਬਿਨਾਂ ਪਾਬੰਦੀ ਵਾਲਾ ਨਿਯਮ ਜੋੜਨਾ ਨੀਤੀ ਨੂੰ ਇੱਕ ਸੇਵਾ ਤੋਂ ਬਹੁਤ ਅੱਗੇ ਫੈਲਾ ਦਿੰਦਾ ਹੈ ਅਤੇ ਆਮ ਬੇਨਤੀ-ਜਵਾਬ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਲਈ ਇਸਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਵਾਪਸੀ ਮਾਰਗ ਨੂੰ ਲੁਕਵਾਂ ਅਤੇ ਨਿਯਮ-ਸਮੂਹ ਨੂੰ ਪੜ੍ਹਨਯੋਗ ਰੱਖੋ।

ਡ੍ਰਾਈ ਰਨ ਤੁਹਾਡੇ ਇਰਾਦੇ ਨਾਲ ਮੇਲ ਖਾਣ ਤੋਂ ਬਾਅਦ ਹੀ ਨਿਯਮ ਲਾਗੂ ਕਰੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਤਰਤੀਬਬੱਧ ਸੂਚੀ ਇਸਨੂੰ ਉਮੀਦ ਵਾਲੀ ਥਾਂ 'ਤੇ ਦਿਖਾਉਂਦੀ ਹੈ। VPN ਸਰੋਤਾ ਅਤੇ ਪ੍ਰਬੰਧਨ ਨਿਯਮਾਂ ਨੂੰ ਵੱਖਰੇ ਮਾਮਲਿਆਂ ਵਜੋਂ ਰੱਖੋ, ਕਿਉਂਕਿ ਉਹਨਾਂ ਨੂੰ ਬਦਲਣਾ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦੇਣ ਤੋਂ ਵੱਖਰਾ ਫ਼ੈਸਲਾ ਹੈ। ਟੋਪੋਲੋਜੀ ਜਿੱਥੇ ਲਿਖੀ ਹੈ ਉੱਥੇ ਹੀ ਬਦਲਾਅ ਨੋਟ ਕਰੋ, ਤਾਂ ਜੋ ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ ਪੈਕਟ ਕੈਪਚਰ ਤੋਂ ਇਹ ਦੁਬਾਰਾ ਨਾ ਲੱਭਣਾ ਪਵੇ।

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

ਜਾਂਚੋ ਕਿ UFW ਤੁਹਾਡੀ ਤਰਫ਼ੋਂ ਕੀ ਲਾਗੂ ਨਹੀਂ ਕਰ ਸਕਦਾ

ਸਹੀ ਨਿਯਮ ਨੂੰ ਅਜੇ ਵੀ ਕਰਨਲ ਫਾਰਵਰਡਿੰਗ ਅਤੇ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਰੂਟ ਚਾਹੀਦਾ ਹੈ। ਫਾਇਰਵਾਲ ਨੂੰ ਦੂਜੀ ਵਾਰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

ਫਿਰ ਹੋਸਟ ਤੋਂ ਬਾਹਰ ਦੇਖੋ। ਕਲਾਉਡ ਇੰਸਟੈਂਸ 'ਤੇ ਮਹਿਮਾਨ ਦੀ UFW ਨੀਤੀ ਸੁਰੱਖਿਆ ਸਮੂਹਾਂ, ਸਬਨੈੱਟ ACL ਜਾਂ ਪ੍ਰਦਾਤਾ ਦੀ ਆਪਣੀ ਫਾਰਵਰਡਿੰਗ ਸੰਰਚਨਾ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੀ, ਇਸ ਲਈ ਸਥਾਨਕ ਬਲਾਕ ਇੱਕ ਪਰਤ ਬਾਰੇ ਸਬੂਤ ਹੈ, ਇਹ ਸਬੂਤ ਨਹੀਂ ਕਿ ਹਰ ਹੋਰ ਪਰਤ ਸੇਵਾ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦਿੰਦੀ ਹੈ।

ਫਾਇਰਵਾਲ ਚਾਲੂ ਰੱਖਦਿਆਂ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਜਾਂਚ ਕੇ ਮੁਕਾਓ, ਇੱਕ ਮਨਜ਼ੂਰ ਸਰੋਤ ਤੋਂ ਅਤੇ ਇੱਕ ਅਸੰਬੰਧਿਤ ਸਰੋਤ ਤੋਂ। UFW ਬੰਦ ਕਰਨਾ ਇੱਕੋ ਹੁਕਮ ਵਿੱਚ ਲੱਛਣ ਹਟਾਉਂਦਾ ਹੈ ਅਤੇ ਸਬੂਤ ਨਸ਼ਟ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਪਹਿਲਾ ਨਹੀਂ ਸਗੋਂ ਆਖ਼ਰੀ ਪ੍ਰਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।