Firewall ya usambazaji wa Linux inaweza kuzuia trafiki ya VPN yako

Handaki linapanda, kumbukumbu inasema imeunganishwa, na programu moja bado haifikii chochote. Kwenye mteja wa Linux hii kwa kawaida inamaanisha firewall ya usambazaji inachuja njia ambayo mteja wa VPN hakuwahi kuisimamia. Wasimamizi wawili wanaweza kuwa hai kwa wakati mmoja, kila mmoja na mawazo yake kuhusu kiolesura, eneo na mwelekeo wa trafiki. Kutambua mmiliki kabla ya kubadilisha chochote ni haraka zaidi kuliko kujaribu sheria hadi kitu kifanye kazi.

Pata msimamizi na backend

Anza na kile kilichopakiwa kwa kweli, si kile kilichosakinishwa. Usambazaji unaweza kuleta firewalld, ufw na huduma ya kawaida ya nftables, na ni mmoja tu wao anamiliki seti ya sheria inayoendesha. Vifurushi vinaishi pamoja kwa amani, na sheria iliyoingizwa kupitia frontend isiyo sahihi haifikii kernel kamwe. Soma huduma hai, kisha soma seti ya sheria iliyoizalisha.

Backend ni muhimu kama frontend. Usakinishaji wa firewalld unaweza kuendesha nftables au backend ya zamani ya iptables kulingana na toleo na usanidi, na zote mbili hutoa matokeo tofauti ya ukaguzi. Andika usambazaji, toleo na backend kwenye tiketi kabla ya kulinganisha mfumo wako na mwongozo wowote.

Oanisha mwelekeo na kiolesura

Ombi la mteja linalotoka, msikilizaji anayeingia na pakiti inayopitishwa hupitia ndoano tofauti, na sheria ya moja haifuniki nyingine. Eneo linaloruhusu LAN ya ndani mara nyingi haliingizi kiolesura cha handaki au bwawa la anwani za VPN. Kiolesura cha handaki kawaida hutua katika eneo chaguo-msingi, ambalo mara nyingi ni kali zaidi kuliko eneo ambalo adapta halisi iko. Kutokulingana huko kunaeleza kwa nini kuvinjari kunafanya kazi kwenye LAN na kuacha pale handaki linapopanda.

Uliza ni mwelekeo gani ulioshindwa kabla ya kuchagua sheria. Programu isiyoweza kuunganisha nje inahitaji njia ya kutoka, wakati huduma inayongia inahitaji njia ya kuingia kwenye kiolesura cha handaki. Kuongeza sheria kwenye mnyororo usio sahihi huzalisha mabadiliko yanayoonekana kutumika na hayafanyi chochote.

Weka wamiliki wa sheria kwa makubaliano

Ndoano ya mteja wa VPN, mazingira ya uendeshaji wa kontena na huduma ya usambazaji zote zinaweza kubadilisha mtandao, na haziratibu kati yao. Sheria zilizoingizwa kwa mkono hupotea kwenye upakiaji unaofuata, na sheria zilizowekwa kwenye mnyororo wa msimamizi zinaweza kutathminiwa kwa mpangilio ambao hukukusudia. Tumia usanidi wa kudumu wa msimamizi na ukague seti ya sheria inayotokana badala ya faili uliyoandika. Kuzima firewall nzima kwa sababu huduma moja haifikiki hubadilisha tatizo dogo kwa kubwa.

Vihesabu vyembamba ni njia ya bei nafuu ya kupata mtiririko uliokataliwa. Sheria ya uandishi iliyopunguzwa kwa lengo moja na bandari moja inaonyesha ikiwa utupaji unatokea ndani bila kunasa trafiki ya mtu mwingine. Ondoa sheria ya uandishi uchunguzi unapoisha, kwa sababu ni utambuzi na si sera, na nyaraka za maeneo za firewalld zinaeleza jinsi violesura na huduma zinavyojumuika.

Thibitisha marekebisho bila kupoteza ufungaji

Kagua hali iliyotumika na msimamizi anayeimiliki, ukitumia amri zinazolingana na backend uliyorekodi. Orodha hapa chini inadhani firewalld ndiye anayehusika; badilisha na kitu sawa kwa nftables au ufw badala ya kuziendesha zote. Kuchanganya zana katika kikao kimoja ndiyo njia ambayo mashine huishia na seti mbili za sheria zinazopingana.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Amri ya kwanza inataja maeneo na violesura vilivyopewa, ambayo inaonyesha mahali handaki lilitua kwa kweli. Ya pili inachapisha sheria na huduma za eneo, kwa hivyo unaweza kuona ikiwa kiolesura cha VPN kimefunikwa hata kidogo. Orodha ya nftables ni ukweli wa msingi kwa backend inayotumika, na sheria iliyopo tu katika faili ya usanidi haionekani hapo. Linganisha matokeo matatu na sheria uliyoongeza, na kutokulingana kawaida hujitaja lenyewe.

Kisha rudia ombi la awali na tabia ya kushindwa unayohitaji. Tovuti mpya inayofanya kazi haitoshi ikiwa mabadiliko hayo hayo yaliondoa ufungaji wa mteja, kwa hivyo jaribu pia njia isiyolindwa. Rekodi msimamizi, backend, kiolesura na madhumuni ya sheria, kwa sababu sasisho la kifurushi linalofufua msimamizi wa pili vinginevyo litajenga upya fujo yote.