Një firewall i shpërndarjes Linux mund të bllokojë trafikun tuaj VPN

Tuneli ngrihet, regjistri thotë i lidhur, dhe një aplikacion ende nuk arrin asgjë. Në një klient Linux kjo zakonisht do të thotë që firewalle-i i shpërndarjes filtron një rrugë që klienti VPN nuk e ka menaxhuar kurrë. Dy menaxherë mund të jenë aktivë njëkohësisht, secili me idetë e veta për ndërfaqen, zonën dhe drejtimin e trafikut. Identifikimi i pronarit përpara se të ndryshohet diçka është më i shpejtë sesa provimi i rregullave derisa diçka të funksionojë.

Gjeni menaxherin dhe backend-in

Filloni me atë që është ngarkuar në të vërtetë, jo me atë që është instaluar. Një shpërndarje mund të sjellë firewalld, ufw dhe një shërbim të thjeshtë nftables, dhe vetëm një prej tyre zotëron grupin e rregullave që po punon. Paketat bashkëjetojnë në paqe, dhe një rregull i futur përmes frontend-it të gabuar nuk arrin kurrë në kernel. Lexoni shërbimin aktiv, më pas lexoni grupin e rregullave që ai prodhoi.

Backend-i ka rëndësi sa frontend-i. Një instalim firewalld mund të drejtojë nftables ose backend-in e vjetër iptables në varësi të versionit dhe konfigurimit, dhe të dyja prodhojnë dalje të ndryshme inspektimi. Shkruani shpërndarjen, versionin dhe backend-in në tiketë përpara se të krahasoni sistemin tuaj me çdo udhëzues.

Përputhni drejtimin dhe ndërfaqen

Një kërkesë dalëse e klientit, një dëgjues hyrës dhe një paketë e përcjellë kalojnë nëpër grepa të ndryshëm, dhe një rregull për njërin nuk i mbulon të tjerët. Një zonë që lejon LAN-in lokal shpesh nuk përfshin ndërfaqen e tunelit ose grupin e adresave VPN. Ndërfaqja e tunelit zakonisht ulet në zonën e paracaktuar, e cila shpesh është më e rreptë sesa zona ku ndodhet përshtatësi fizik. Kjo mospërputhje shpjegon pse shfletimi funksionon në LAN dhe ndalon në momentin që tuneli ngrihet.

Pyetni cili drejtim dështoi përpara se të zgjidhni një rregull. Një aplikacion që nuk mund të lidhet nga jashtë ka nevojë për rrugën dalëse, ndërsa një shërbim hyrës ka nevojë për rrugën hyrëse në ndërfaqen e tunelit. Shtimi i një rregulli në zinxhirin e gabuar prodhon një ndryshim që duket i aplikuar dhe nuk bën absolutisht asgjë.

Mbajini pronarët e rregullave në marrëveshje

Grepi i një klienti VPN, mjedisi i ekzekutimit të kontejnerëve dhe shërbimi i shpërndarjes mund të modifikojnë të gjithë rrjetin, dhe nuk koordinohen me njëri-tjetrin. Rregullat e futura me dorë zhduken në ringarkimin tjetër, dhe rregullat e futura në zinxhirin e një menaxheri mund të vlerësohen në një rend që nuk e kishit synuar. Përdorni konfigurimin e përhershëm të menaxherit dhe inspektoni grupin e rregullave që rezulton në vend të skedarit që keni shkruar. Çaktivizimi i të gjithë firewall-it sepse një shërbim është i paarritshëm shkëmben një problem të vogël me një të madh.

Numëruesit e ngushtë janë mënyra e lirë për të gjetur rrjedhën e refuzuar. Një rregull regjistrimi i kufizuar në një destinacion dhe një port tregon nëse hedhja ndodh lokalisht pa kapur trafikun e dikujt tjetër. Hiqni rregullin e regjistrimit kur hetimi të përfundojë, sepse është diagnostikim dhe jo politikë, dhe dokumentacioni i zonave të firewalld shpjegon se si kombinohen ndërfaqet dhe shërbimet.

Verifikoni rregullimin pa humbur kyçjen

Inspektoni gjendjen e aplikuar me menaxherin që e zotëron, duke përdorur komanda që përputhen me backend-in që regjistruat. Lista më poshtë supozon se firewalld është përgjegjës; zëvendësojeni me ekuivalentin për nftables ose ufw në vend që t’i ekzekutoni të gjitha. Përzierja e mjeteve në një sesion është mënyra se si një makinë përfundon me dy grupe rregullash në konflikt.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Komanda e parë emërton zonat dhe ndërfaqet që u janë caktuar, çka tregon ku tuneli ka zbritur në të vërtetë. E dyta shtyp rregullat dhe shërbimet e një zone, kështu që mund të shihni nëse ndërfaqja VPN është mbuluar fare. Lista nftables është e vërteta themelore për backend-in në përdorim, dhe një rregull që ekziston vetëm në një skedar konfigurimi nuk shfaqet atje. Krahasoni tri daljet me rregullin që shtuat, dhe mospërputhja zakonisht emërton vetveten.

Pastaj përsëritni kërkesën origjinale dhe sjelljen e dështimit që kërkoni. Një sajt që sapo filloi të funksionojë nuk mjafton nëse i njëjti ndryshim hoqi kyçjen e klientit, prandaj provoni edhe një rrugë të pambrojtur. Regjistroni menaxherin, backend-in, ndërfaqen dhe qëllimin e rregullit, sepse një përditësim pakete që ringjall një menaxher të dytë përndryshe do të rindërtojë të gjithë rrëmujën.