Excepție UFW pentru VPN când se schimbă adresa punctului final

Clientul încearcă să se reconecteze și nimic nu iese din mașină, deși același profil funcționa săptămâna trecută. Numele de gazdă al punctului final se rezolvă acum într-o altă adresă, iar excepția de ieșire o numește încă pe cea veche. Acea singură permisiune învechită este suficientă pentru a transforma un kill switch funcțional într-o cădere totală, și este invizibilă în fiecare indicator de stare afișat pe desktop. Reparația este un mic flux de lucru, nu o modificare de o singură linie.

Tunelul se reconectează, apoi nu mai iese nimic

O regulă de ieșire care numește o adresă de destinație este o instantanee, iar răspunsurile DNS nu sunt. Când furnizorul rotește o adresă, pachetul pe care clientul îl trimite către noul peer nu se potrivește cu nimic și este eliminat de interdicția implicită. Clientul raportează apoi un timeout, care sună ca o problemă de server, nu de firewall.

Fixarea adresei pe care o returnează o căutare publică face ca azi să funcționeze și lasă mâine stricat. Este o modificare punctuală, nu o politică de mentenanță.

Descrie excepția pe care o intenționezi de fapt

Începe prin a nota cele patru valori de care are nevoie regula: numele sau setul de adrese al punctului final aprobat, transportul, portul de destinație și interfața prin care iese pachetul. Toate patru fac parte din permisiune, și oricare dintre ele poate fi greșit în timp ce regula încă pare plauzibilă. O regulă corectă la trei dintre ele eșuează exact ca o regulă greșită la toate patru. Notează-le înainte de a tasta comanda, pentru că o regulă este doar atât de bună cât descrierea din spatele ei.

Comanda de mai jos arată forma pentru un punct final IPv4 UDP pe un uplink prin cablu. Înlocuiește ambele valori cu cele pe care le-ai verificat față de implementare.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Acea permisiune nu autorizează destinații arbitrare pe același port, nu creează un ascultător și nu acoperă TCP. Pagina de manual a UFW descrie cum adresa, interfața și protocolul îngustează o regulă, iar această îngustare este tot sensul.

Reîmprospăteaz-o ca un singur flux de lucru

Tratează excepția ca pe o resursă cu proprietar și tranziție, nu ca pe o comandă pe care cineva își amintește să o ruleze. Obține mai întâi un candidat din resolverul și inventarul de puncte finale al implementării, și definește deliberat cum se rezolvă acel nume înainte ca tunelul să existe. Apoi validează candidatul față de protocolul, portul și familia de adrese intenționate înainte de a atinge setul de reguli.

Instalează mai întâi noua permisiune îngustă și confirmă că a fost încărcată, pentru că a cere clientului să folosească o adresă pe care firewall-ul încă o blochează produce o eroare care pare o defecțiune de server. Lasă regulile nelegate neatinse în timpul schimbării.

Observă tranziția clientului prin calea sa de reconectare acceptată și confirmă ce adresă remote a ales. Actualizarea doar a DNS nu mută un socket existent, iar o setare de persistență a punctului final poate ține clientul pe peerul vechi mult după ce înregistrarea s-a schimbat.

În cele din urmă, retrage permisiunea învechită în mod deliberat, permițând fereastra de suprapunere aprobată cât timp o sesiune veche este încă activă. Eliminarea prea devreme a intrării vechi produce o cădere scurtă; păstrarea ei pentru totdeauna lasă o permisiune pe care nimeni nu o poate explica.

Retrage permisiunea veche în mod deliberat

Eliminarea este locul unde se află cea mai mare parte a riscului, pentru că regula veche este singurul lucru care funcționează acum. Dacă instalarea candidatului a eșuat, nu continua și nu șterge intrarea care încă transportă trafic. Dacă eliminarea în sine eșuează, înregistrează permisiunea învechită ca învechită în loc să declari politica actuală.

Repetă întreaga revizuire când uplink-ul trece de la Ethernet la Wi-Fi, când se schimbă transportul sau când un serviciu rotește între mai multe adrese. O regulă specifică interfeței ar trebui să înceteze să se potrivească după o schimbare de rețea, iar acel comportament este corect chiar dacă pare o regresie.

Dovedește contractul după aceea cu trafic inofensiv. Punctul final aprobat trebuie să fie accesibil în timpul configurării, aplicația protejată trebuie să funcționeze după conectare, iar traficul direct nelegat trebuie să rămână blocat în timpul unei căderi. Include ambele familii de adrese și o încercare de actualizare eșuată în mod deliberat, pentru că o conexiune care reușește după o singură modificare a unei adrese fixate nu dovedește niciunul dintre aceste cazuri.