ufw allow 443 haikusaidia huduma iliyo nyuma ya VPN

Ping inafanikiwa kutoka kwa mteja wa VPN, huduma ya TCP inaisha muda, na ufw allow 443/tcp haibadilishi chochote kabisa. Wakati programu inaendeshwa kwenye mwenyeji aliye nyuma ya lango na si kwenye lango lenyewe, ruhusa hiyo iliandikwa kwa njia isiyo sahihi ya trafiki. Pakiti haijaelekezwa kwa firewall na haikabidhiwi kwa mchakato wowote wa ndani, kwa hivyo kanuni za kuingia haziioni kamwe. Suluhisho ni kanuni ya njia inayolenga mtiririko unaopitishwa, na ushahidi wake tayari uko kwenye kumbukumbu.

Amua kama lengo ni la ndani au limepitishwa

Soma pakiti kama kernel inaiona. Trafiki inayokabidhiwa kwa huduma kwenye lango ni ingizo la ndani. Trafiki ambayo lango huelekeza mbele kwa mwenyeji mwingine imepitishwa, na UFW huweka seti tofauti za kanuni kwa njia hizo mbili. Tofauti huamuliwa na anwani ya lengo na utafutaji wa njia, si kiolesura ambacho pakiti ilifika nacho.

Mstari wa kumbukumbu unaoonyesha kiolesura kimoja katika sehemu zote mbili IN na OUT unaweza bado kuelezea pakiti iliyopitishwa kwa njia, kwa sababu handaki inayobeba wateja ndani na nje ya kifaa kimoja inaonekana hivyo kabisa. Anwani ya lengo hutatua swali hilo haraka kuliko majina ya violesura. Kuona jina lilelile mara mbili hakuthibitishi ukabidhishaji wa ndani, na kubuni kiolesura cha handaki ambacho usambazaji haukuwahi kuunda hakusaidii pia.

Soma kizuizi kabla ya kuongeza kanuni yoyote

Zalisha tena jaribio moja la muunganisho lililoruhusiwa na ukamate chanzo, lengo, itifaki na bandari ya lengo kama lango lilivyozirekodi. Linganisha hizo thamani nne na kiingilio cha kumbukumbu na mahali halisi pa huduma. Ping iliyofanikiwa awali inathibitisha tu kwamba mabadilishano yake yenyewe yaliruhusiwa, na firewall inaweza kushughulikia TCP SYN kuelekea programu kwa namna tofauti kabisa.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

Amri ya kwanza hurudisha uamuzi pamoja na sehemu zake, na ya pili inaonyesha kilichopakiwa tayari na kwa mpangilio gani. Soma zote mbili kabla ya kuhariri chochote, kwa sababu kukataliwa kwa awali juu ya kanuni yako hueleza dalili hiyo hiyo bila kanuni yoyote inayokosekana.

Andika kanuni nyembamba zaidi ya njia inayofaa

Katika mfano huu wateja hufika kwenye tun0 kutoka 172.20.8.0/24, huduma husikiliza kwenye 10.30.0.15 kwenye bandari 8443, na lango hutoka kupitia ens5. Thamani hizo zilichaguliwa ili zisionekane kabisa kama chaguo-msingi la VPC ya wingu la 10.0.0.0/16 au mtandao wa nyumbani wa 192.168.0.0/16, na 8443 huiweka mfano mbali na msikilizaji 443 wa lango lenyewe.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

Mbio kavu huchapisha seti ya kanuni ambayo ingetokea, na hiyo ndiyo njia ya bei nafuu zaidi ya kuona kama kanuni yako inaanguka kabla au baada ya kukataliwa kunakokuwepo. Thibitisha majina ya violesura na anwani za ndani dhidi ya usambazaji na si dhidi ya mfano, na kumbuka kwamba NAT ya lengo inapotangulia, kichujio huona lengo lililotafsiriwa.

Weka njia ya kurudi ikiwa na hali

UFW hufuatilia miunganisho iliyoruhusiwa, kwa hivyo majibu ya mtiririko uliopitishwa ulioruhusiwa hukubaliwa bila kanuni ya kinyume iliyo wazi. Kuongeza kanuni isiyo na kikomo kwa upande kinyume ili mambo yafanye kazi kunapanua sera mbali zaidi ya huduma moja na hakuhitajiki kwa mabadilishano ya kawaida ya ombi na jibu. Weka njia ya kurudi ikiwa isiyo ya wazi na seti ya kanuni isomeke.

Tumia kanuni hiyo tu wakati mbio kavu inalingana na nia yako, kisha thibitisha kwamba orodha iliyopangwa inaionyesha mahali panapotarajiwa. Weka msikilizaji wa VPN na kanuni za usimamizi kama masuala tofauti, kwa sababu kuzibadilisha ni uamuzi tofauti na kuruhusu programu moja. Andika mabadiliko mahali pale topolojia ilipoandikwa, ili mhandisi anayefuata asihitaji kuigundua tena kutoka kwa kunasa pakiti.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

Angalia kile ambacho UFW haiwezi kulazimisha kwa niaba yako

Kanuni sahihi bado inahitaji upitishaji wa kernel na njia inayofika kwa huduma. Thibitisha vyote viwili kabla ya kulaumu firewall mara ya pili.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

Kisha angalia nje ya mwenyeji. Kwenye kipengele cha wingu sera ya UFW ya mgeni haichukui nafasi ya vikundi vya usalama, ACL za subneti au usanidi wa upitishaji wa mtoa huduma mwenyewe, kwa hivyo kuzuia kwa ndani ni ushahidi kuhusu tabaka moja na si uthibitisho kwamba kila tabaka lingine linaruhusu huduma.

Maliza kwa kujaribu muunganisho mpya wakati firewall imewashwa, kutoka chanzo kilichoruhusiwa na kutoka kingine kisichohusiana. Kuzima UFW kunaondoa dalili na kuharibu ushahidi katika amri hiyo hiyo, kwa hivyo inapaswa kuwa jaribio la mwisho na si la kwanza.