ufw allow 443 waxba kama qaban adeegga VPN-ka gadaashiisa

Ping wuu guulaystaa macmiilka VPN, adeegga TCP wuu waqti dhaafaa, ufw allow 443/tcp waxna ma beddelo. Marka barnaamijku ku shaqeeyo martigeliyaha gadaasha iridda halkii uu ku shaqayn lahaa iridda lafteeda, oggolaanshahaas waxaa loo qoray waddada taraafikada khaldan. Baakaddu kuma qorna darbiga dabka lamana gaarsiiyo hab-shaqayn maxalli ah, sidaas darteed qaanuunnada soo-gelintu weligood ma arkaan. Xalku waa qaanuun waddo oo u jeedda qulqulka la gudbinayo, caddayntiisuna horey bay ugu taal diiwaanka.

Go'aanso in meesha loo socdo ay maxalli tahay ama la gudbinayo

Akhri baakadda sida kernelku u arko. Taraafikada loo gaarsiiyo adeeg ku yaal iridda waa soo-gelin maxalli ah. Taraafikada iriddu u gudbiso martigeliye kale waa la gudbinayaa, UFWna wuxuu hayaa jaantusyo qaanuun oo gaar ah labada waddo. Farqiga waxaa go'aamiya cinwaanka loo socdo iyo raadinta waddada, ma aha interface-ka baakaddu ku timid.

Sadar diiwaan oo isla interface ku tusaya labada goobood ee IN iyo OUT weli waxay qeexi kartaa baakad la maray waddo, sababtoo ah tunnel macaamiisha ka soo geliya kana soo saara hal qalab sidaas oo kale ayuu u eg yahay. Cinwaanka loo socdo su'aashan ayuu ka gaabinayaa magacyada interface-ka. Isla magaca laba jeer arkiddiisu ma caddaynayso gaarsiin maxalli ah, mala-awaalidda interface tunnel oo aan hirgelinta waligeed abuurin waxna ma caawinayso.

Akhri qaybta ka hor intaadan ku darin wax qaanuun ah

Dib u soo saar hal isku-day isku-xir la oggolaaday oo qor isha, meesha loo socdo, borotokoolka iyo dekedda loo socdo sida iriddu u diiwaangalisay. Isbarbardhig afartaas qiime iyo diiwaanka iyo goobta dhabta ah ee adeegga. Ping hore oo guulaystay wuxuu kaliya caddaynayaa in is-dhaafsigiisu la oggolaaday, darbiga dabkuna wuxuu TCP SYN u jeedda barnaamij si ka duwan u qaabayn karaa.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Amarka koowaad wuxuu soo celiyaa go'aanka goobihiisa, tan labaadna waxay tusaysaa waxa horey loo raray iyo nidaamka. Labadaba akhri ka hor intaadan wax tafatirin, sababtoo ah diidmo hore oo ka sarreysa qaanuunkaaga ayaa sharraxaysa calaamaddaas isla mid ah iyada oo aan qaanuun maqan jirin.

Qor qaanuunka waddo ee ugu cidhiidhsan ee ku habboon

Tusaalahan macaamiishu waxay ku yimaadaan tun0 iyagoo ka imanaya 172.20.8.0/24, adeeggu wuxuu dhageystaa 10.30.0.15 dekedda 8443, iriddu waxay ka baxdaa ens5. Qiimayaashaas waxaa loo doortay in ay wax ka duwanaadaan caadiga cloud VPC ee 10.0.0.0/16 ama shabakadda guriga ee 192.168.0.0/16, 8443-na tusaalaha wuu ka fogeeyaa dhageystaha 443 ee iridda lafteeda.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Socodka qallalan wuxuu daabacaa jaantuska qaanuun ee dhalan lahaa, waana tan ugu jaban ee lagu arko in qaanuunkaagu ka hor ama ka dib dhaco diidmo jirta. Hubi magacyada interface-ka iyo cinwaannada gudaha marka la eego hirgelinta ee ma aha tusaalaha, oo xusuuso in marka NAT-ka loo socdo uu marka hore shaqeeyo, shaandhuhu arko meesha la tarjumay.

Hayso waddada soo-noqoshada iyada oo xaalad leh

UFW wuxuu la socdaa isku-xirka la oggolaaday, sidaas darteed jawaabaha qulqulka la gudbinayo ee la oggolaaday waa la aqbalaa iyada oo aan qaanuun rogan oo cad ah loo baahnayn. Ku daridda qaanuun aan xaddidnayn oo jihada ka soo horjeeda ah si wax walba u shaqeeyaan waxay siyaasadda u ballaadhisaa meel aad uga fog hal adeeg, lamana baahna is-dhaafsi codsi iyo jawaab caadi ah. Hayso waddada soo-noqoshada mid ku duugan oo jaantuska qaanuunka mid la akhriyi karo.

Codso qaanuunka kaliya marka socodka qallalan uu la jaanqaado ujeeddadaada, ka dib xaqiiji in liiska habaysan uu ku tusayo meesha la filayay. Hayso dhageystaha VPN iyo qaanuunnada maamulka arrimo gaar ah, sababtoo ah beddelkoodu waa go'aan ka duwan oggolaanshaha hal barnaamij. Qor isbeddelka isla meesha topology-ga lagu qoray, si injineerka xiga uusan mar kale uga helin duubista baakadaha.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Hubi waxa UFW aanu adiga kaa fulin karin

Qaanuun sax ah weli wuxuu u baahan yahay gudbin kernel iyo waddo gaadha adeegga. Labadaba xaqiiji ka hor intaadan darbiga dabka mar labaad eedeyn.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Ka dib eeg meel ka baxsan martigeliyaha. Dhacdo cloud ah, siyaasadda UFW ee martida ma beddesho kooxaha amni, ACL-ka subnet-ka ama qaabaynta gudbinta ee bixiyaha laftiisa, sidaas darteed xannibaad maxalli ah waa caddayn ku saabsan hal lakab oo ma aha caddaynta in lakabyada kale oo dhan oggolaadaan adeegga.

Ku dhammee tijaabinta isku-xir cusub iyadoo darbiga dabku shidan yahay, laga imanayo il la oggolaaday iyo mid aan xiriir la lahayn. Daminta UFW waxay tirtirtaa calaamadda oo burburisaa caddaynta isla amarkaas, sidaas darteed waa inuu noqdaa tijaabada ugu dambaysa ee ma aha tan koowaad.