Përjashtim i UFW për VPN kur ndryshon adresa e pikës fundore

Klienti përpiqet të rilidhet dhe asgjë nuk del nga makina, edhe pse i njëjti profil funksiononte javën e kaluar. Emri host i pikës fundore tani zgjidhet në një adresë tjetër, dhe përjashtimi i daljes vazhdon të përmendë atë të vjetrën. Ky leje i vetëm i vjetruar mjafton për ta kthyer një kill switch funksional në një ndërprerje totale, dhe është i padukshëm në çdo tregues statusi që shfaq desktopi. Riparimi është një rrjedhë e vogël pune, jo një ndryshim i një rreshti.

Tuneli rilidhet, dhe pastaj asgjë nuk del

Një rregull daljeje që përmend një adresë destinacioni është një fotografi e çastit, dhe përgjigjet DNS nuk janë. Kur ofruesi rrotullon një adresë, paketa që klienti dërgon drejt peer-it të ri nuk përputhet me asgjë dhe hidhet nga mohimi i parazgjedhur. Klienti raporton më pas një afat të skaduar, që tingëllon si problem serveri dhe jo si problem firewalle.

Fiksimi i adresës që kthen një kërkim publik e bën të funksionojë sot dhe e lë të prishur nesër. Ky është një ndryshim i njëhershëm, jo një politikë mirëmbajtjeje.

Përshkruaj përjashtimin që synon vërtet

Fillimisht shkruaj katër vlerat që i nevojiten rregullit: emrin ose grupin e adresave të pikës fundore të miratuar, transportin, portën e destinacionit dhe ndërfaqen nga e cila del paketa. Të katërta janë pjesë e lejes, dhe secila prej tyre mund të jetë e gabuar ndërsa rregulli ende duket i besueshëm. Një rregull i saktë në tre prej tyre dështon saktësisht si një rregull i gabuar në të katër. Shkruaji para se të shtypësh komandën, sepse një rregull vlen vetëm sa përshkrimi pas tij.

Komanda më poshtë tregon formën për një pikë fundore IPv4 UDP në një uplink me kabllo. Zëvendëso të dyja vlerat me ato që ke verifikuar kundrejt vendosjes.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Ajo leje nuk autorizon destinacione arbitrare në të njëjtën portë, nuk krijon dëgjues dhe nuk mbulon TCP. Faqja e manualit të UFW përshkruan si adresa, ndërfaqja dhe protokolli e ngushtojnë një rregull, dhe pikërisht kjo ngushtim është e gjithë çështja.

Rifreskoje si një rrjedhë e vetme pune

Trajto përjashtimin si një burim me pronar dhe tranzicion, jo si një komandë që dikush kujtohet ta ekzekutojë. Së pari merr një kandidat nga zgjidhësi dhe inventari i pikave fundore të vetë vendosjes, dhe përcakto me qëllim si zgjidhet ai emër përpara se tuneli të ekzistojë. Më pas valido kandidatin kundrejt protokollit, portës dhe familjes së adresave të synuara para se të prekësh grupin e rregullave.

Instalo së pari lejen e re të ngushtë dhe konfirmo që u ngarkua, sepse kërkimi i klientit të përdorë një adresë që firewalle ende e bllokon prodhon një dështim që duket si defekt serveri. Lëri rregullat e palidhura të paprekura gjatë ndryshimit.

Vëzhgo tranzicionin e klientit përmes rrugës së tij të mbështetur të rilidhjes dhe konfirmo cilën adresë të largët zgjodhi. Përditësimi vetëm i DNS nuk e lëviz një socket ekzistues, dhe një cilësim këmbënguljeje të pikës fundore mund ta mbajë klientin në peer-in e vjetër shumë kohë pasi regjistri ka ndryshuar.

Më në fund tërhiq me qëllim lejen e vjetruar, duke lejuar dritaren e miratuar të mbivendosjes ndërsa një sesion i vjetër është ende aktiv. Heqja e shënimit të vjetër shumë herët prodhon një ndërprerje të shkurtër; lënia përgjithmonë lë një leje që askush nuk mund ta shpjegojë.

Tërhiq me qëllim lejen e vjetër

Heqja është vendi ku qëndron pjesa më e madhe e rrezikut, sepse rregulli i vjetër është e vetmja gjë që funksionon tani. Nëse instalimi i kandidatit dështoi, mos vazhdo dhe mos fshi shënimin që ende mbart trafik. Nëse vetë heqja dështon, regjistro lejen e vjetruar si të vjetruar në vend që ta shpallësh politikën aktuale.

Përsërit të gjithë rishikimin kur uplink-u kalon nga Ethernet në Wi-Fi, kur ndryshon transporti ose kur një shërbim rrotullohet mes disa adresave. Një rregull specifik i ndërfaqes supozohet të ndalojë përputhjen pas një ndryshimi rrjeti, dhe ai sjellje është korrekt edhe pse duket si regresion.

Provo kontratën më pas me trafik të padëmshëm. Pika fundore e miratuar duhet të jetë e arritshme gjatë konfigurimit, aplikacioni i mbrojtur duhet të funksionojë pas lidhjes, dhe trafiku i drejtpërdrejtë i palidhur duhet të mbetet i bllokuar gjatë një ndërprerjeje. Përfshij të dyja familjet e adresave dhe një përpjekje përditësimi të dështuar me qëllim, sepse një lidhje që ka sukses pas një ndryshimi të vetëm të adresës së fiksuar nuk provon asnjë nga ato raste.