Izjema UFW za VPN, ko se naslov končne točke spremeni

Odjemalec se poskuša znova povezati in iz stroja ne odide nič, čeprav je isti profil deloval prejšnji teden. Ime gostitelja končne točke se zdaj razrešuje v drug naslov, izhodna izjema pa še vedno navaja starega. To eno zastarelo dovoljenje zadostuje, da delujoč kill switch spremeni v popoln izpad, in je nevidno v vsakem kazalniku stanja na namizju. Popravilo je majhen potek dela, ne sprememba ene vrstice.

Predor se znova poveže, nato pa nič ne odide

Izhodno pravilo, ki navaja ciljni naslov, je posnetek stanja, odgovori DNS pa to niso. Ko ponudnik obrne naslov, paket, ki ga odjemalec pošlje proti novemu peeru, ne ustreza ničemur in ga privzeta prepoved zavrže. Odjemalec nato sporoči potek časovne omejitve, kar zveni bolj kot težava strežnika kot požarnega zidu.

Pripeti naslov, ki ga vrne javno iskanje, poskrbi, da danes deluje in jutri ostane pokvarjeno. To je enkratna sprememba, ne politika vzdrževanja.

Opišite izjemo, ki jo resnično mislite

Začnite s tem, da zapišete štiri vrednosti, ki jih pravilo potrebuje: odobreno ime končne točke ali nabor naslovov, transport, ciljna vrata in vmesnik, skozi katerega paket odide. Vse štiri so del dovoljenja in katera koli od njih je lahko napačna, medtem ko je pravilo videti še verjetno. Pravilo, ki je pravilno pri treh od njih, spodleti natanko tako kot pravilo, ki je napačno pri vseh štirih. Zapišite jih, preden vtipkate ukaz, ker je pravilo le tako dobro, kot je opis za njim.

Spodnji ukaz prikazuje obliko za eno končno točko IPv4 UDP na kabelski povezavi. Zamenjajte obe vrednosti s tistima, ki ste ju preverili glede na uvedbo.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

To dovoljenje ne odobri poljubnih ciljev na istih vratih, ne ustvari poslušalca in ne pokriva TCP. Stran priročnika UFW opisuje, kako naslov, vmesnik in protokol zožijo pravilo, in prav to zoženje je bistvo.

Osvežite jo kot en potek dela

Obravnavajte izjemo kot vir z lastnikom in prehodom, ne kot ukaz, na katerega se kdo spomni. Najprej pridobite kandidata iz lastnega razreševalnika in popisa končnih točk uvedbe ter namerno določite, kako se to ime razreši, preden predor obstaja. Nato kandidata potrdite glede na predvideni protokol, vrata in družino naslovov, preden se dotaknete nabora pravil.

Najprej namestite novo ozko dovoljenje in potrdite, da se je naložilo, ker pošiljanje odjemalca na naslov, ki ga požarni zid še vedno blokira, povzroči napako, ki je videti kot okvara strežnika. Med spremembo pustite nepovezana pravila nedotaknjena.

Opazujte prehod odjemalca po njegovi podprti poti ponovnega povezovanja in potrdite, kateri oddaljeni naslov je izbral. Samo posodabljanje DNS ne premakne obstoječe vtičnice in nastavitev obstojnosti končne točke lahko odjemalca zadrži pri starem peeru še dolgo po spremembi zapisa.

Nazadnje namerno umaknite zastarelo dovoljenje in pri tem dopustite odobreno okno prekrivanja, dokler je stara seja še dejavna. Prezgodnja odstranitev starega vnosa povzroči kratek izpad; če ga pustite za vedno, ostane dovoljenje, ki ga nihče ne zna razložiti.

Namerno umaknite staro dovoljenje

Odstranjevanje je mesto, kjer je največ tveganja, ker je staro pravilo edina stvar, ki trenutno deluje. Če namestitev kandidata ni uspela, ne nadaljujte in ne izbrišite vnosa, ki še vedno prenaša promet. Če odstranitev sama spodleti, zabeležite zastarelo dovoljenje kot zastarelo, namesto da bi politiko razglasili za aktualno.

Ponovite celoten pregled, ko se povezava spremeni z Ethernet na Wi-Fi, ko se spremeni transport ali ko se storitev vrti med več naslovi. Pravilo, specifično za vmesnik, bi moralo po spremembi omrežja prenehati ujemati, in to vedenje je pravilno, četudi je videti kot regresija.

Nato dokažite pogodbo z neškodljivim prometom. Odobrena končna točka mora biti med nastavitvijo dosegljiva, zaščitena aplikacija mora po povezavi delovati, nepovezan neposreden promet pa mora med izpadom ostati blokiran. Vključite obe družini naslovov in en namerno neuspešen poskus posodobitve, ker povezava, ki uspe po eni sami spremembi pripetega naslova, ne dokaže nobenega od teh primerov.