نوی UFW قاعده، زوړ اړیکه: تثبیت شوې حالت ګټي

د رد قاعده اضافه کول او لیدل چې پرانیستی ډاونلوډ دوام کوي د UFW غلطي نه ده۔ هغه قاعده چې تاسو اضافه کړې، د هغو قاعدو وروسته ده چې دا بهېدنه یې مخکې منلې ده، او پخوا تثبیت شوې اړیکه لا هم له هغوی سره سمون لري۔ د دې سمول پدې معنا دي چې په سم ځای کې یې دننه کړئ او پوه شئ چې پخوانۍ قاعدې څه ژمنه کوي۔ د دې بدلون تنګه بڼه لاندې ده۔

ترتیب فیصله کوي، نه د قاعدې شتون

UFW یو مخکینی برخه ده چې د netfilter قاعدې په مرحلو کې لیکي: د کاروونکي قاعدو دمخه چلېدونکې چوکاټ برخه، بیا پخپله د کاروونکي قاعدې، بیا له هغو وروسته چلېدونکې برخه۔ معیاري مخکینۍ قاعدې د تثبیت شوو او اړوندو اړیکو ټرافیک مني، او هغه قاعدې له هر هغه څه دمخه ارزول کېږي چې تاسو یې په عادي allow یا deny اضافه کوئ۔ د UFW د کمانډونو مرجع د دننه کولو نحو او هغه ګڼ شمېره حالت لید مستند کوي چې دا بدلون پرې تکیه دی۔

همدا ترتیب د حیرانتیا تشریح کوي۔ ستاسو نوې قاعده ریښتینې ده او په سمه جدول کې ده، خو دا لومړنۍ پرېکړه نه ده چې کڅوړه ورسره مخ کېږي۔ هغه اړیکه چې مخکې تثبیت شوې ګڼل کېږي، هېڅکله هلته نه رسېږي۔

د دې کار لپاره route قاعدې وکاروئ، ځکه کڅوړه د دروازې له لارې لېږدول کېږي نه دا چې د دروازې خپلو خدمتونو ته مخاطبه شي۔ د ننوتلو قاعده به غلط ټرافیک فلټر کړي او داسې ښکاره شي چې هېڅ نه کوي۔

د پراخ اجازه له پاسه یې دننه کړئ

له پلي کولو دمخه دننه کول وګورئ او تایید کړئ چې قاعده په لېست کې بل چېرته نه ده۔ د ورته پالیسۍ کاپي کول وروسته لرې کول مبهم کوي، او هغه څوک چې غلطه کاپي لرې کوي، به یې اونۍ تر اونیو ونه پوهېږي۔

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

که مخکتنه په تمه شوې ځای کې دقیقاً یوه قاعده وښيي، هماغه کمانډ پرته له dry-run بیرغ پلي کړئ۔ ځای 1 دا د پراخو کاروونکي اجازو له پاسه ږدي، نه د پخوا بحث شوو چوکاټ قاعدو له پاسه۔ تایید کړئ چې د انټرفېس نوم دې دروازې د تونل وسیلې سره سمون لري، ځکه هغه قاعده چې له نور موجود نه وي انټرفېس سره تړلې وي، په لېست کې به پاتې شي او سمه به ښکاري خو له هېڅ سره به سمون ونه کړي۔ د وسیلې حواله له پلي کولو دمخه بدله کړئ، نه وروسته له دې چې ازموینه ناکامه شي۔

په هغه قاعده کې هېڅ منزل پورټ نه دی، نو هغه د هغه پتې هر TCP پورټ ردوي، نه یوازې HTTPS۔ که موخه یوه خدمت وي، پورټ ونوموئ؛ له پالیسۍ پراخه قاعده هغه راتلونکې پېښه ده چې خپل لومړني لوستونکي ته انتظار ده۔

سرچینه یوازې یوې پتې ته محدوده کړئ که هغه پته له مطلوب هویت سره تړلې وي۔ د متحرک تخصیص سره VPN حوض ممکن سبا هماغه پته بل پیرودونکي ته ورکړي، او رد به د کس نه بلکې د پتې تعقیب وکړي۔

تثبیت شوې بهېدنې له نوي قاعدې ژغورل کېږي

د اړیکو تعقیب هغه دلیل دی چې موجوده ناسته دوام کوي۔ کله چې یوه بهېدنه د تثبیت شوې په توګه ثبت شي، پخوانۍ قاعدې د هغې کڅوړې ستاسو له رد څخه دمخه مني، او لېږد داسې پای ته رسېږي لکه هېڅ بدلون نه وي شوی۔ له همدې امله هغه براوزر چې پرانیستې اړیکه بیا کاروي، ستاسو ته د نوې پالیسۍ په اړه هېڅ نه وایي۔ یو رد ممکن له ځای پر ځای کولو څو دقیقې وروسته بې ګټې ښکاره شي او د راتلونکي نښلېدونکي کاروونکي لپاره په بشپړه توګه اغېزمن وي۔

که غوښتنه د ژوندي ټرافیک پرې کول هم شامل وي، دا د کاروونکي قاعدې بدلون نشي ترسره کولی۔ د تعقیب شوې حالت لغوه کول له خپل اغېز وړانګې سره جلا عمل دی، او دا د اور وژنې د مالک دی نه د هغه چې قاعده یې اضافه کړې۔ د یوې ناستې د ورکېدو لپاره په دروازه کې هرې اړیکې تشول هغه ډول سمون دی چې دوهمه پېښه پیدا کوي۔

پولې هم په یاد ولرئ۔ دا قاعده د ICMP، UDP یا IPv6 په اړه هېڅ نه وایي، نو بریالی ping د رد ناکامۍ ثبوت نه دی۔ یوه IPv4 پته هم وېبپاڼه نه ده: نوم کېدای شي څو پتو ته حل شي، او یوازې هغه پته چې تاسو نومولې، پوښل شوې ده۔

له نوي بهېدنې سره ازموینه وکړئ

ګڼ شمېرې کاروونکي قاعدې او اغېزمن خام لید ولولئ، بیا له ټاکل شوي پیرودونکي نوی اړیکه پرانیزئ:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

خام لید مهم دی ځکه status هغه چوکاټ قاعدې پرېږدي چې لاسي لیکل شوې دي، نو ترتیب ممکن د کرنل له پلي کولو څخه توپیر ولري۔ مخکې له دې چې پایله وکړئ چې یوه قاعده په غلط ځای کې ده، دواړه پرتله کړئ۔

بیا هغه دوه کنټرولونه وګورئ چې ثابتوي قاعده تنګه ده نه پراخه: له هماغه پیرودونکي اجازه شوې منزل لا هم کار کوي، او دوهم پیرودونکی د خپلې پالیسۍ په اجازه سره لا هم رد شوې منزل ته رسېږي۔ هغه رد چې دواړه ازموینې ماتوي، د پالیسۍ بدلون دی، نه هدفمن ګام۔

کله چې ازموینه پای ته ورسېده، یوازې هغه قاعده لرې کړئ چې تاسو اضافه کړې وه، په دقیق ډول یې بیا لیکل کړئ۔ که پالیسي تلپاتې وي، له پیرودونکي هویت، د منزل مالک او د بیاکتنې نیټې سره یې د اور وژنې مالک ته وسپارئ، ترڅو بیا ټاکل شوې تونل پته پخوانی رد پرې نه ږدي۔