Požarni zid distribucije Linux lahko blokira vaš promet VPN

Tunel se dvigne, dnevnik pravi povezano, in ena aplikacija še vedno ne doseže ničesar. Na odjemalcu Linux to običajno pomeni, da požarni zid distribucije filtrira pot, ki je odjemalec VPN nikoli ni upravljal. Dva upravitelja sta lahko aktivna hkrati, vsak s svojimi predstavami o vmesniku, območju in smeri prometa. Prepoznavanje lastnika pred kakršno koli spremembo je hitrejše kot preizkušanje pravil, dokler nekaj ne deluje.

Poiščite upravitelja in backend

Začnite s tem, kar je dejansko naloženo, ne s tem, kar je nameščeno. Distribucija lahko prinese firewalld, ufw in običajno storitev nftables, in samo ena od njih ima delujoči nabor pravil. Paketi mirno sobivajo, pravilo, vneseno prek napačnega čelnega dela, pa nikoli ne doseže jedra. Preberite aktivno storitev in nato nabor pravil, ki ga je ustvarila.

Backend je enako pomemben kot čelni del. Namestitev firewalld lahko poganja nftables ali stari backend iptables glede na različico in konfiguracijo, oba pa dajeta različen izhod pregleda. Zapišite distribucijo, različico in backend v zahtevek, preden svoj sistem primerjate s katerim koli vodnikom.

Uskladite smer in vmesnik

Odhodna zahteva odjemalca, vhodni poslušalec in posredovani paket gredo skozi različne kavlje, pravilo za enega pa ne pokrije drugih. Območje, ki dovoljuje lokalni LAN, pogosto ne vključuje vmesnika tunela ali nabora naslovov VPN. Vmesnik tunela običajno pristane v privzetem območju, ki je pogosto strožje od območja fizičnega adapterja. To neskladje pojasnjuje, zakaj brskanje v LAN deluje in se ustavi v trenutku, ko se tunel dvigne.

Pred izbiro pravila vprašajte, katera smer je spodletela. Aplikacija, ki se ne more povezati navzven, potrebuje izhodno pot, medtem ko vhodna storitev potrebuje vhodno pot na vmesniku tunela. Dodajanje pravila v napačno verigo ustvari spremembo, ki je videti uporabljena in ne naredi prav ničesar.

Ohranjajte lastnike pravil usklajene

Kavelj odjemalca VPN, izvajalno okolje vsebnikov in storitev distribucije lahko vsi spreminjajo omrežje, in se med seboj ne usklajujejo. Ročno vnesena pravila izginejo ob naslednjem ponovnem nalaganju, pravila, vstavljena v verigo upravitelja, pa se lahko ovrednotijo v vrstnem redu, ki ga niste nameravali. Uporabite trajno konfiguracijo upravitelja in pregledajte nastali nabor pravil namesto datoteke, ki ste jo napisali. Izklop celotnega požarnega zidu, ker ena storitev ni dosegljiva, zamenja majhen problem za velikega.

Ozka števca so poceni način za iskanje zavrnjenega toka. Pravilo beleženja, omejeno na en cilj in ena vrata, pokaže, ali do zavrnitve prihaja lokalno, ne da bi ujelo promet koga drugega. Pravilo beleženja odstranite ob koncu preiskave, ker je diagnostika in ne politika, in dokumentacija območij firewalld pojasnjuje, kako se vmesniki in storitve kombinirajo.

Preverite popravek brez izgube zaklepa

Preglejte uporabljeno stanje z upraviteljem, ki ga ima, s ukazi, ki ustrezajo zabeleženemu backendu. Spodnji seznam predpostavlja, da je odgovoren firewalld; nadomestite ga z ustreznico za nftables ali ufw, namesto da bi pognali vse. Mešanje orodij v eni seji je način, kako stroj konča z dvema nasprotujočima si naboroma pravil.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Prvi ukaz poimenuje območja in vmesnike, ki so jim dodeljeni, kar pokaže, kam je tunel dejansko pristal. Drugi natisne pravila in storitve območja, tako da vidite, ali je vmesnik VPN sploh pokrit. Seznam nftables je osnovna resnica za uporabljeni backend, pravilo, ki obstaja le v konfiguracijski datoteki, pa se tam ne pojavi. Primerjajte tri izhode s pravilom, ki ste ga dodali, in neskladje se običajno poimenuje samo.

Nato ponovite prvotno zahtevo in zahtevano vedenje ob napaki. Na novo delujoče mesto ni dovolj, če je ista sprememba odstranila zaklep odjemalca, zato preizkusite tudi nezaščiteno pot. Zabeležite upravitelja, backend, vmesnik in namen pravila, ker bo posodobitev paketa, ki obudi drugega upravitelja, sicer znova zgradila vso zmedo.