UFW изузетак за VPN када се адреса крајње тачке промени

Клијент покушава поново да се повеже и ништа не излази из машине, иако је исти профил радио прошле недеље. Име хоста крајње тачке сада се разрешава на другу адресу, а излазни изузетак још увек наводи стару. Та једна застарела дозвола довољна је да функционални kill switch претвори у потпуни прекид, и невидљива је у сваком показивачу стања који радна површина приказује. Поправка је мали ток рада, а не измена једног реда.

Тунел се поново повезује, а затим ништа не излази

Излазно правило које наводи одредишну адресу је снимак стања, а DNS одговори то нису. Када провајдер заокрене адресу, пакет који клијент шаље ка новом peer-у не одговара ничему и бива одбачен подразумеваном забраном. Клијент затим пријави истек времена, што звучи као проблем сервера, а не заштитног зида.

Причвршћивање адресе коју врати јавна претрага чини да данас ради, а сутра остане покварено. То је једнократна измена, а не политика одржавања.

Опишите изузетак који заиста имате на уму

Почните тако што ћете записати четири вредности које правило тражи: одобрено име крајње тачке или скуп адреса, транспорт, одредишни порт и интерфејс кроз који пакет излази. Све четири су део дозволе, и било која од њих може бити погрешна док правило још изгледа уверљиво. Правило које је тачно у три од њих затаји исто као правило које је погрешно у све четири. Запишите их пре него што упишете наредбу, јер правило вреди онолико колико вреди опис иза њега.

Наредба испод показује облик за једну IPv4 UDP крајњу тачку на жичаној вези. Замените обе вредности онима које сте проверили према имплементацији.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Та дозвола не овлашћује произвољна одредишта на истом порту, не ствара слушаоца и не покрива TCP. Страница приручника UFW описује како адреса, интерфејс и протокол сужавају правило, и управо је то сужавање цела поента.

Освежите то као један ток рада

Третирајте изузетак као ресурс са власником и прелазом, а не као наредбу коју се неко сети да покрене. Најпре прибавите кандидата из сопственог разрешивача и пописа крајњих тачака имплементације и свесно дефинишите како се то име разрешава пре него што тунел постоји. Затим проверите кандидата према намераваном протоколу, порту и фамилији адреса пре него што дотакнете скуп правила.

Најпре инсталирајте нову уску дозволу и потврдите да се учитала, јер слање клијента на адресу коју заштитни зид још блокира производи грешку која изгледа као квар сервера. Оставите неповезана правила нетакнута током промене.

Посматрајте прелаз клијента његовим подржаним путем поновног повезивања и потврдите коју је удаљену адресу изабрао. Само ажурирање DNS-а не помера постојећи сокет, а подешавање трајности крајње тачке може задржати клијента на старом peer-у дуго након што се запис променио.

На крају свесно повуците застарелу дозволу, допуштајући одобрени прозор преклапања док је стара сесија још активна. Преурано уклањање старог уноса производи кратак прекид; остављање заувек оставља дозволу коју нико не може да објасни.

Свесно повуците стару дозволу

Уклањање је место где лежи већина ризика, јер је старо правило једино што тренутно ради. Ако је инсталација кандидата неуспешна, не настављајте и не бришите унос који још носи саобраћај. Ако само уклањање не успе, забележите застарелу дозволу као застарелу уместо да политику прогласите актуелном.

Поновите цео преглед када се веза промени са Ethernet-а на Wi-Fi, када се промени транспорт или када се услуга окреће преко неколико адреса. Правило специфично за интерфејс треба да престане да се подудара након промене мреже, и то понашање је исправно иако изгледа као регресија.

Затим докажите уговор безопасним саобраћајем. Одобрена крајња тачка мора бити доступна током подешавања, заштићена апликација мора радити након повезивања, а неповезани директни саобраћај мора остати блокиран током прекида. Укључите обе фамилије адреса и један свесно неуспешан покушај ажурирања, јер веза која успе после једне измене причвршћене адресе не доказује ниједан од тих случајева.