නව UFW නීතිය, පැරණි සම්බන්ධතාවය: ස්ථාපිත තත්ත්වය ජය ගනී
සීමිත UFW මාර්ග ප්‍රතික්ෂේපයක් කලින් නීති දැනටමත් පිළිගත් රහස්‍ය දත්ත මඟ හරියි. එය කොහේ ඇතුළත් කළ යුතුද සහ ස්ථාපිත තත්ත්වය තවමත් ඉඩ දෙන්නේ කුමක්දැයි බලන්න.
ප්‍රතික්ෂේප නීතියක් එකතු කර විවෘත බාගැනීමක් දිගටම පවතිනු දැකීම UFW දෝෂයක් නොවේ. ඔබ එකතු කළ නීතිය මෙම ප්‍රවාහය දැනටමත් පිළිගෙන ඇති නීතිවලට පසුව පිහිටයි, සහ කලින් ස්ථාපිත වූ සම්බන්ධතාවය ඒවා සමඟ ගැළපෙමින් පවතී. එය නිවැරදි කිරීමට නම් නිවැරදි ස්ථානයේ ඇතුළත් කළ යුතු අතර කලින් නීති පොරොන්දු වන්නේ කුමක්දැයි තේරුම් ගත යුතුය. එම වෙනසෙහි පටු අනුවාදය පහතින්.
තීරණය කරන්නේ ක්‍රමයයි, නීතියේ පැවැත්ම නොවේ
UFW යනු netfilter නීති අදියර වශයෙන් ලියන මුහුණත් කොටසකි: පරිශීලක නීතිවලට පෙර ක්‍රියාත්මක වන රාමු කොටස, පසුව පරිශීලක නීති, පසුව ඒවාට පසු ක්‍රියාත්මක වන කොටස. සාමාන්‍ය පෙර නීති ස්ථාපිත හා සම්බන්ධිත සම්බන්ධතාවල රහස්‍ය දත්ත පිළිගනී, සහ එම නීති ඔබ සාමාන්‍ය allow හෝ deny එකකින් එකතු කරන කිසිදු දෙයකට පෙර ඇගයේ. UFW විධාන යොමුව ඇතුළත් කිරීමේ වාක්‍ය සම්ප්‍රදාය හා මෙම වෙනස රඳා පවතින අංකිත තත්ත්ව දර්ශනය ලේඛනගත කරයි.
එම ක්‍රමය විස්මය පැහැදිලි කරයි. ඔබේ නව නීතිය සැබෑ ය, එය නිවැරදි වගුවේ ඇත, නමුත් එය පැකට්ටුවට මුණගැසෙන පළමු තීරණය නොවේ. දැනටමත් ස්ථාපිත ලෙස හඳුනාගෙන ඇති සම්බන්ධතාවයක් එහි නොපැමිණේ.
මෙම කාර්යයට route නීති භාවිත කරන්න, මන්ද පැකට්ටුව ගේට්වේහිම සේවා වෙත යොමු නොවී ගේට්වේ හරහා යවනු ලැබේ. ආදාන නීතියක් වැරදි රහස්‍ය දත්ත පෙරහන් කර කිසිවක් නොකරන බවක් පෙනෙන්නට ඉඩ තිබුණි.
පුළුල් අවසරයට ඉහළින් ඇතුළත් කරන්න
යෙදීමට පෙර ඇතුළත් කිරීම පෙරදසුන් කරන්න, සහ ලැයිස්තුවේ වෙනත් තැනක එම නීතිය දැනටමත් නොමැති බව තහවුරු කරන්න. සමාන ප්‍රතිපත්තියක් අනුපිටපත් කිරීම පසුව ඉවත් කිරීම අපැහැදිලි කරයි, සහ වැරදි පිටපත ඉවත් කරන අයට එය සති ගණනක් තේරෙන්නේ නැත.
sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32පෙරදසුනේ ඔබ බලාපොරොත්තු වන ස්ථානයේ හරියටම එක් නීතියක් පෙනේ නම්, dry-run ධජය නොමැතිව එම විධානයම යොදන්න. ස්ථානය 1 එය පුළුල් පරිශීලක අවසරවලට ඉහළින් තබයි, කලින් සාකච්ඡා කළ රාමු නීතිවලට ඉහළින් නොවේ. අතුරුමුහුණතේ නම මෙම ගේට්වේහි ටනල් උපාංගයට ගැළපෙන බව තහවුරු කරන්න, මන්ද තවදුරටත් නොපවතින අතුරුමුහුණතකට බැඳුණු නීතියක් ලැයිස්තුවේ රැඳී නිවැරදි ලෙස පෙනෙන නමුත් කිසිවකට නොගැළපේ. යෙදීමට පෙර උපාංග යොමුව නම් වෙනස් කරන්න, පරීක්ෂණය අසාර්ථක වූ පසුව නොවේ.
එම නීතියේ ගමනාන්ත වරායක් නොමැත, එබැවින් එය එම ලිපිනයේ HTTPS පමණක් නොව සියලුම TCP වරාය ප්‍රතික්ෂේප කරයි. අරමුණ එක් සේවාවක් නම් වරාය නම් කරන්න; ප්‍රතිපත්තියට වඩා පුළුල් නීතියක් යනු පළමු පාඨකයා එනතුරු බලා සිටින අනාගත සිදුවීමකි.
මූලාශ්‍රය එක් ලිපිනයකට සීමා කරන්නේ එම ලිපිනය අපේක්ෂිත අනන්‍යතාවයට බැඳී ඇත්නම් පමණි. ගතික වෙන් කිරීම සහිත VPN තටාකයක් හෙට එම ලිපිනයම වෙනත් සේවාලාභියෙකුට දිය හැක, සහ ප්‍රතික්ෂේපය පුද්ගලයා නොව ලිපිනය අනුගමනය කරයි.
ස්ථාපිත ප්‍රවාහ නව නීතියෙන් ගැලවේ
දැනට පවතින සැසිය දිගටම පවතින්නේ සම්බන්ධතා පරීක්ෂාව නිසාය. ප්‍රවාහයක් ස්ථාපිත ලෙස සටහන් වූ පසු, ඔබේ ප්‍රතික්ෂේපය සලකා බැලීමට පෙර පෙර නීති එහි පැකට්ටු පිළිගනී, සහ මාරු කිරීම කිසිවක් වෙනස් නොවූ ලෙස අවසන් වේ. එබැවින් විවෘත සම්බන්ධතාවක් නැවත භාවිත කරන බ්‍රව්සරයකින් පරීක්ෂා කිරීම නව ප්‍රතිපත්තිය ගැන කිසිවක් නොකියයි. ප්‍රතික්ෂේපයක් යෙදවීමෙන් මිනිත්තු කිහිපයකට පසු නිෂ්ඵල ලෙස පෙනෙන්නට ඉඩ ඇති අතර ඊළඟට සම්බන්ධ වන පරිශීලකයාට සම්පූර්ණයෙන්ම ඵලදායී විය හැක.
අවශ්‍යතාවයට සජීවී රහස්‍ය දත්ත කැපීම ඇතුළත් නම්, මෙම පරිශීලක-නීති වෙනසට එය ලබා දිය නොහැක. හඳුනාගත් තත්ත්වය අවලංගු කිරීම තමන්ගේම බලපෑම් අරයක් සහිත වෙනම ක්‍රියාවකි, එය නීතිය එකතු කළ අයට නොව ගිනිපවුරු හිමිකරුට අයත් වේ. එක් සැසියක් අතුරුදහන් වීමට ගේට්වේහි සියලු සම්බන්ධතා හිස් කිරීම දෙවන සිදුවීමක් ඇති කරන ආකාරයේ අලුත්වැඩියාවකි.
සීමාවන් ද මතක තබා ගන්න. මෙම නීතිය ICMP, UDP හෝ IPv6 ගැන කිසිවක් නොකියයි, එබැවින් සාර්ථක ping එකක් ප්‍රතික්ෂේපය අසාර්ථක වූ බවට සාක්ෂියක් නොවේ. එක් IPv4 ලිපිනයක් ද වෙබ් අඩවියක් නොවේ: නාමයක් ලිපින කිහිපයකට විසඳිය හැක, සහ ඔබ නම් කළ එක පමණක් ආවරණය වේ.
නව ප්‍රවාහයකින් පරීක්ෂා කරන්න
අංකිත පරිශීලක නීති සහ ඵලදායී අමු දර්ශනය කියවා, පසුව තෝරාගත් සේවාලාභියාගෙන් නව සම්බන්ධතාවක් විවෘත කරන්න:
sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should failඅමු දර්ශනය වැදගත් වන්නේ status අතින් ලියූ රාමු නීති මඟ හරින බැවින්, ක්‍රමය කර්නලය බලාත්මක කරන දෙයට වඩා වෙනස් ලෙස පෙනිය හැකි නිසාය. නීතියක් වැරදි තැනක යැයි නිගමනය කිරීමට පෙර දෙකම සසඳන්න.
පසුව නීතිය පුළුල් නොව පටු බව ඔප්පු කරන පාලන දෙක පරීක්ෂා කරන්න: එම සේවාලාභියාගෙන් අවසර ලත් ගමනාන්තයක් තවමත් ක්‍රියා කරයි, සහ දෙවන සේවාලාභියෙකු ඔහුගේ ප්‍රතිපත්තිය අවසර දෙන්නේ නම් ප්‍රතික්ෂේපිත ගමනාන්තයට තවමත් ළඟා වේ. පරීක්ෂණ දෙකම බිඳ දමන ප්‍රතික්ෂේපයක් ප්‍රතිපත්ති වෙනසක් මිස ඉලක්කගත පියවරක් නොවේ.
පරීක්ෂණය අවසන් වූ පසු ඔබ එකතු කළ නීතිය පමණක් ඉවත් කරන්න, එය හරියටම නැවත ලියා. ප්‍රතිපත්තිය ස්ථිර නම්, සේවාලාභී අනන්‍යතාවය, ගමනාන්ත හිමිකරු සහ සමාලෝචන දිනය සමඟ එය ගිනිපවුරු හිමිකරුට භාර දෙන්න, එවිට නැවත වෙන් කළ ටනල් ලිපිනය පැරණි ප්‍රතික්ෂේපයක් ඉතිරි නොකරයි.