Kanuni mpya ya UFW, muunganisho wa zamani: hali iliyothibitishwa inashinda

Kuongeza kanuni ya kukataa na kuona upakuaji uliofunguliwa unaendelea si hitilafu ya UFW. Kanuni uliyoongeza inasimama baada ya kanuni ambazo tayari zimekubali mtiririko huo, na muunganisho uliothibitishwa mapema unaendelea kuendana nazo. Kuirekebisha kunamaanisha kuiweka mahali sahihi na kuelewa kile kanuni za awali zinaahidi. Toleo jembamba la badiliko hilo linafuata.

Mpangilio huamua, si uwepo wa kanuni

UFW ni kiolesura cha mbele kinachoandika kanuni za netfilter kwa hatua: sehemu ya mfumo inayoendeshwa kabla ya kanuni za mtumiaji, kisha kanuni za mtumiaji zenyewe, kisha sehemu inayoendeshwa baada yao. Kanuni za awali za kawaida hukubali trafiki ya miunganisho iliyothibitishwa na inayohusiana, na kanuni hizo hutathminiwa kabla ya chochote unachoongeza kwa allow au deny ya kawaida. Marejeo ya amri za UFW yanaeleza sintaksia ya kuingiza na mwonekano wa hali ulio na nambari ambao badiliko hili linategemea.

Mpangilio huo unaeleza mshangao. Kanuni yako mpya ni ya kweli na iko kwenye jedwali sahihi, lakini si uamuzi wa kwanza unaokutana na pakiti. Muunganisho unaofuatiliwa kama uliothibitishwa haufiki kamwe kwake.

Tumia kanuni za route kwa kazi hii, kwa sababu pakiti inapitishwa kupitia lango badala ya kuelekezwa kwa huduma za lango lenyewe. Kanuni ya kuingia ingechuja trafiki isiyo sahihi na ingeonekana kama haifanyi chochote.

Iingize juu ya ruhusa pana

Onyesha kuingiza kabla ya kukitumia na uthibitishe kuwa kanuni haipo tayari mahali pengine kwenye orodha. Kunakili sera inayofanana hufanya uondoaji wa baadaye kuwa na utata, na anayeondoa nakala isiyo sahihi hataona hilo kwa wiki.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

Ikiwa onyesho la awali linaonyesha kanuni moja hasa mahali unapotarajia, tumia amri hiyo hiyo bila bendera ya dry-run. Nafasi 1 inaiweka juu ya ruhusa pana za mtumiaji, si juu ya kanuni za mfumo zilizojadiliwa awali. Thibitisha kuwa jina la kiolesura linaendana na kifaa cha handaki kwenye lango hili, kwa sababu kanuni iliyofungwa kwa kiolesura kisichokuwepo tena itakaa kwenye orodha na kuonekana sahihi huku hailingani na chochote. Badilisha jina la rejeleo la kifaa kabla ya kutumia, si baada ya jaribio kushindwa.

Hakuna bandari lengwa kwenye kanuni hiyo, kwa hivyo inakataa kila bandari ya TCP kwenye anwani hiyo na si HTTPS pekee. Ikiwa nia ni huduma moja, taja bandari; kanuni pana kuliko sera ni tukio la baadaye linalosubiri msomaji wake wa kwanza.

Punguza chanzo kwa anwani moja tu ikiwa anwani hiyo imefungwa kwa utambulisho unaokusudiwa. Bwawa la VPN lenye ugawaji unaobadilika linaweza kumpa mteja mwingine anwani hiyo hiyo kesho, na ukanushaji utafuata anwani badala ya mtu.

Mitiririko iliyothibitishwa inaokoka kanuni mpya

Ufuatiliaji wa miunganisho ndio sababu kikao kilichopo kinaendelea. Mtiririko unaporekodiwa kama uliothibitishwa, kanuni za awali hukubali pakiti zake kabla ya ukanushaji wako kuzingatiwa, na uhamishaji unamalizika kana kwamba hakuna kilichobadilika. Ndio sababu kujaribu kwa kivinjari kinachotumia tena muunganisho uliofunguliwa hakuambii chochote kuhusu sera mpya. Ukanushaji unaweza kuonekana hauna maana dakika chache baada ya kuwekwa na kuwa na matokeo kamili kwa mtumiaji anayefuata kuunganisha.

Ikiwa hitaji linajumuisha kukata trafiki hai, badiliko hili la kanuni ya mtumiaji haliwezi kutoa hilo. Kubatilisha hali inayofuatiliwa ni kitendo tofauti chenye eneo lake la athari, na ni mali ya mmiliki wa ngome ya moto na si wa aliyeongeza kanuni. Kufuta miunganisho yote kwenye lango ili kikao kimoja kitoweke ni aina ya marekebisho yanayozalisha tukio la pili.

Kumbuka mipaka pia. Kanuni hii haisemi chochote kuhusu ICMP, UDP au IPv6, kwa hivyo ping iliyofanikiwa si uthibitisho kuwa ukanushaji ulishindwa. Anwani moja ya IPv4 pia si tovuti: jina linaweza kutatuliwa kuwa anwani kadhaa, na ni ile uliyoitaja pekee iliyofunikwa.

Jaribu kwa mtiririko mpya

Soma kanuni za mtumiaji zilizo na nambari na mwonekano mbichi unaofanya kazi, kisha fungua muunganisho mpya kutoka kwa mteja aliyechaguliwa:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

Mwonekano mbichi ni muhimu kwa sababu status huacha kanuni za mfumo zilizoandikwa kwa mkono, kwa hivyo mpangilio unaweza kuonekana tofauti na ule ambao kerneli hutekeleza. Linganisha vyote viwili kabla ya kuhitimisha kuwa kanuni iko mahali pasipofaa.

Kisha angalia vidhibiti viwili vinavyothibitisha kuwa kanuni ni jembamba na si pana: lengwa linaloruhusiwa kutoka kwa mteja huyo huyo bado linafanya kazi, na mteja wa pili bado anafikia lengwa lililokataliwa ikiwa sera yake inaruhusu. Ukanushaji unaovunja majaribio yote mawili ni badiliko la sera, si hatua inayolengwa.

Jaribio linapokamilika, ondoa kanuni uliyoongeza pekee, kwa kuirudia kwa usahihi. Ikiwa sera ni ya kudumu, ikabidhi kwa mmiliki wa ngome ya moto pamoja na utambulisho wa mteja, mmiliki wa lengwa na tarehe ya mapitio, ili anwani ya handaki iliyopangwa upya isiache ukanushaji uliopitwa na wakati.