Çelësi i sigurisë i UFW bllokon VPN-në tuaj? Lejo homologun

Ndiqe listën e kontrollit: refuzo daljen, lejo tunelin, aktivizo ufw. Pastaj klienti pret në shtrëngimin e duarve dhe nuk lidhet kurrë, ose lidhet dhe asnjë faqe nuk ngarkohet. Të dyja dështimet vijnë nga e njëjta boshllëk. Mungon rregulli që lejon tunelin të ekzistojë, sepse tuneli nuk është një ndërfaqe nga e cila dalin paketat e tua.

Pse një leje në tun0 në fillim nuk përputhet me asgjë

tun0 krijohet nga klienti pasi ekziston një sesion. Datagramet që ndërtojnë atë sesion janë paketa UDP të zakonshme të adresuara te ofruesi në portën 1194, dhe dalin përmes wlan0 ose eth0 me adresën fizike të burimit. allow out on tun0 përputhet vetëm me trafikun ndërfaqja dalëse e të cilit është tun0, kështu që gjatë shtrëngimit të duarve nuk përputhet me asgjë.

Vendos default deny outgoing sipër dhe paketat e jashtme hidhen para se ndërfaqja të shfaqet fare. Klienti provon përsëri, skadon koha dhe raporton një dështim TLS ose shtrëngimi duarsh, gjë që i dërgon njerëzit të gërmojnë nëpër certifikata dhe MTU ndërsa muri i zjarrit ha në heshtje lidhjen. Rregulli që duhej të përmbante trafikun tënd pengon që ai trafik të përmbahet.

Rregullimi refleks e bën rrjedhjen të përhershme. sudo ufw allow out on wlan0, ose kthimi i parazgjedhurës në lejo, ngre tunelin dhe e lë makinën pa çelës sigurie: herën tjetër që tuneli bie, gjithçka rifillon përmes përshtatësit fizik. Humbëm një pasdite pikërisht në atë palë ndryshimeve para se të kuptoja se çfarë pakete po filtroja në të vërtetë.

Çfarë u nevojitet dy grupeve të paketave

Trafiku yt kalon murin e zjarrit dy herë, në dy forma. Paketa e brendshme shkon nga adresa e tunelit jashtë përmes tun0. Paketa e jashtme shkon nga adresa fizike te homologia, dhe është e vetmja gjë e dukshme në tel. Një rregull për çdo formë:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Zëvendëso adresën dhe portën me ato të profilit tënd. Homologët e WireGuard zakonisht përgjigjen në 51820/udp; profilet e OpenVPN që kalojnë përmes TCP 443 kanë nevojë për atë portë në vend të kësaj. Detajet ndryshojnë, forma jo: të dy rregullat janë të ngushta dhe bashkë përcaktojnë destinacionet e vetme që makina mund të arrijë ndërsa tuneli është jashtë.

Rendi është miti i dytë. Me iptables të papërpunuar lexon zinxhirin nga lart poshtë dhe arsyeton se cili rregull fiton. ufw nuk është një mbështjellës i hollë rreth listës që shtypët; ai i përpilon rregullat e tua në zinxhirët e vet dhe zgjedh pikat e futjes. ufw status i printon në rendin e ufw, jo në tëndin. Kur një rregull duket i injoruar, krahaso ufw show added me grupin e përpiluar nga iptables -S | grep ufw përpara se të rishkruash gjë.

Përjashtimi duhet të mbetet një adresë i gjerë

Një rregull homologu është i saktë vetëm sa kohë emërton adresën që klienti thërret. Ofruesit rrotullojnë pikat fundore, dhe një profil që zgjidh një emër hosti do të ndjekë ndryshimin e DNS në një adresë të re ndërsa rregulli vazhdon të tregojë nga ajo e vjetra. Kur një tunel që funksionoi për muaj ndalon së ngrituri, krahaso adresën në rregull me atë që klienti kërkon përpara se të zgjerojë gjë.

Zgjerimi në një nënrrjet të tërë, ose në çdo destinacion në portën 1194, e kthen politikën përsëri në mur zjarri me vrimë. Përjashtimi është çelësi i sigurisë; sapo të jetë i gjerë, nuk mbetet asgjë për të fikur. Mbaje në një adresë të vetme dhe lër një koment që emërton profilin dhe ofruesin të cilit i përket, sepse pas gjashtë muajsh adresa do të duket arbitrare.

Zgjidhja e emrave meriton rreshtin e vet. Kërkimi ndodh përpara se tuneli të ekzistojë, përmes ndërfaqes fizike, kështu që një politikë e rreptë refuzim-daljeje mund ta lërë klientin të paaftë të gjejë serverin e tij. Lejo portën 53 drejt adresës së zgjidhësit tënd, ose zgjidh një herë dhe fikso adresën në profil. Lejimi i DNS në çdo ndërfaqe është vendim, jo parazgjedhje.

Ndërto politikën përpara se tuneli të nevojitet

ufw enable zbaton të gjithë politikën menjëherë dhe ringarkon zinxhirët e vet, dhe ndryshimi i një politike të parazgjedhur në një mur zjarri që punon i ringarkon ata gjithashtu. manuali i ufw paralajmëron se kjo mund të hedhë poshtë lidhje ekzistuese si SSH. Prandaj komandat shkojnë në këtë rend, me rregullin SSH përpara aktivizimit dhe një sesion konsol i hapur:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset është lënë jashtë atij blloku me qëllim. Fshin çdo rregull dhe çaktivizon murin e zjarrit, dhe në një host të largët aktivizimi pasues është ai që hedh sesionin tënd. Nëse gjithsesi rinisësh, shto rregullin SSH dhe konfirmo një rrugë të dytë kthimi përmes konsolës përpara se të ecësh më tej.

Sekuenca nuk është kozmetike. Rregullat e shtuara ndërsa ufw punon nuk shpërlajë asgjë, por në momentin që kthen një politikë të parazgjedhur zinxhirët ringarkohen, dhe një sesion që politika e vjetër lejonte shkon bashkë me ta. Bëj parazgjedhjet, lejet dhe aktivizimin në një kalim të vetëm, ndërsa ke ende një rrugë hyrjeje që nuk varet nga makina.

Testo gjendjen e bllokuar dhe mbaj kthimin

Një çelës sigurie i patestuar është hamendje. Shkëput klientin me qëllim dhe provo të ngarkosh një faqe: duhet të dështojë. Rilidhu dhe duhet të rikuperohet pa prekur asnjë rregull. sudo ufw status verbose konfirmon parazgjedhjet dhe gjendjen e regjistrimit, dhe ufw status numbered tregon cilin rregull testi të fshish kur i mbijeton qëllimit të vet.

Mbaj skriptin e kundërt pranë atij përpara. Një makinë me refuzim daljeje dhe një tunel të vdekur nuk mund të shkarkojë riparimin e vet, prandaj kthimi duhet të qëndrojë në disk dhe të lexohet nga konsola:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Ekzekutoje kur tuneli është tashmë poshtë dhe rregullat duhet të hiqen, jo si hap rutine. Përpara se të mbyllësh terminalin, katër gjëra duhet të jenë të vërteta: rregulli i homologut emërton saktësisht një adresë, DNS ka një përjashtim të emërtuar, aktivizimi erdhi pas lejeve, dhe tërheqja e tunelit vret trafikun e zakonshëm pa e vrarë klientin përgjithmonë.