Заштитни зид Linux дистрибуције може блокирати ваш VPN саобраћај

Тунел се подиже, дневник каже повезано, а једна апликација ипак не стиже нигде. На Linux клијенту то обично значи да заштитни зид дистрибуције филтрира пут који VPN клијент никада није управљао. Два менаџера могу бити активна истовремено, сваки са својим представама о интерфејсу, зони и смеру саобраћаја. Идентификовање власника пре било какве измене брже је од испробавања правила док нешто не проради.

Пронађите менаџера и позадински систем

Почните од онога што је стварно учитано, а не од онога што је инсталирано. Дистрибуција може испоручити firewalld, ufw и обичну nftables услугу, а само једна од њих поседује активни скуп правила. Пакети мирно коегзистирају, а правило унето кроз погрешно предње сучеље никада не стиже до језгра. Прочитајте активну услугу, затим прочитајте скуп правила који је произвела.

Позадински систем једнако је важан као и предњи. Инсталација firewalld може покретати nftables или стари iptables позадински систем, у зависности од верзије и конфигурације, а оба дају различит излаз прегледа. Запишите дистрибуцију, верзију и позадински систем у тикет пре него што свој систем упоредите са било којим водичем.

Ускладите смер и сучеље

Одлазни захтев клијента, долазни слушалац и прослеђени пакет пролазе кроз различите куке, а правило за једну не покрива остале. Зона која дозвољава локалну LAN мрежу често не укључује тунелско сучеље ни адресни фонд VPN-а. Тунелско сучеље обично заврши у подразумеваној зони, која је често строжа од зоне у којој се налази физички адаптер. Тај несклад објашњава зашто прегледање ради на LAN мрежи и стаје у тренутку кад се тунел подигне.

Питајте који је смер заказао пре избора правила. Апликацији која не може да се повеже према вани потребан је излазни пут, док долазној услузи треба улазни пут на тунелском сучељу. Додавање правила у погрешан ланац ствара промену која изгледа примењено и не чини баш ништа.

Држите власнике правила у слози

Кука VPN клијента, окружење за контејнере и услуга дистрибуције могу сви мењати мрежу, и они се међусобно не усклађују. Ручно унета правила нестају при следећем поновном учитавању, а правила убачена у ланац менаџера могу се вредновати редоследом који нисте намеравали. Користите трајну конфигурацију менаџера и прегледајте добијени скуп правила уместо датотеке коју сте написали. Искључивање целог заштитног зида јер је једна услуга недоступна мења мали проблем за велики.

Уска бројила су јефтин начин да пронађете одбијени ток. Правило записивања ограничено на једно одредиште и један порт показује да ли се одбацивање дешава локално, без хватања туђег саобраћаја. Уклоните правило записивања кад истрага заврши, јер је оно дијагностика, а не политика, и документација firewalld о зонама објашњава како се сучеља и услуге комбинују.

Проверите поправку без губитка закључавања

Прегледајте примењено стање менаџером који га поседује, користећи наредбе које одговарају забележеном позадинском систему. Списак у наставку претпоставља да је firewalld задужен; замените га еквивалентом за nftables или ufw уместо да покрећете све. Мешање алата у једној сесији начин је на који рачунар заврши са два сукобљена скупа правила.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Прва наредба именује зоне и сучеља која су им додељена, што показује где је тунел стварно завршио. Друга исписује правила и услуге зоне, па видите је ли VPN сучеље уопште покривено. Списак nftables основна је истина за позадински систем у употреби, а правило које постоји само у конфигурационој датотеци тамо се не појављује. Упоредите три излаза с правилом које сте додали, и несклад обично сам себе именује.

Затим поновите изворни захтев и понашање квара које захтевате. Новопрорадила страница није довољна ако је иста промена уклонила клијентово закључавање, па тестирајте и незаштићени пут. Забележите менаџера, позадински систем, сучеље и сврху правила, јер ће надоградња пакета која оживи другог менаџера иначе поново изградити целу збрку.