Kizima cha UFW kinazuia VPN yako? Ruhusu mwenzio

Ulifuata orodha ya ukaguzi: kataa kutoka, ruhusu handaki, washa ufw. Kisha mteja husubiri kwenye makubaliano ya mkono na haunganishi kamwe, au huunganisha na hakuna ukurasa unaopakia. Hitilafu zote mbili zinatoka kwenye pengo moja. Kanuni inayoruhusu handaki kuwepo haipo, kwa sababu handaki si kiolesura ambacho pakiti zako hutoka.

Kwa nini ruhusa kwenye tun0 mwanzoni hailingani na kitu

tun0 huundwa na mteja baada ya kikao kuwepo. Datagramu zinazojenga kikao hicho ni pakiti za UDP za kawaida zinazoelekezwa kwa mtoa huduma kwenye lango 1194, na hutoka kupitia wlan0 au eth0 na anwani halisi ya chanzo. allow out on tun0 hulingana tu na trafiki ambayo kiolesura chake cha kutoka ni tun0, kwa hiyo wakati wa makubaliano ya mkono hailingani na kitu chochote.

Weka default deny outgoing juu yake na pakiti za nje hutupwa kabla kiolesura hakijaonekana. Mteja hujaribu tena, muda huisha na huripoti hitilafu ya TLS au makubaliano ya mkono, jambo ambalo huwapeleka watu kutafuta katika vyeti na MTU huku ngome ya moto ikila muunganisho kimya kimya. Kanuni iliyokusudiwa kuzuia trafiki yako ndiyo inayozuia trafiki hiyo kuzuiwa.

Suluhisho la kielektroniki hufanya uvujaji kuwa wa kudumu. sudo ufw allow out on wlan0, au kurudisha chaguo-msingi kwa ruhusa, huinua handaki na kuacha mashine bila kizima: wakati ujao handaki linapoanguka, kila kitu huendelea kupitia adapta halisi. Nilipoteza mchana mzima kwenye jozi hiyo ya mabadiliko kabla ya kugundua ni pakiti gani ninachujua kwa kweli.

Kile ambacho seti mbili za pakiti zinahitaji

Trafiki yako huvuka ngome ya moto mara mbili, katika maumbo mawili. Pakiti ya ndani hutoka kwenye anwani ya handaki kwenda nje kupitia tun0. Pakiti ya nje hutoka kwenye anwani halisi hadi kwa mwenzio, na ndiyo kitu pekee kinachoonekana kwenye waya. Kanuni moja kwa kila umbo:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Badilisha anwani na lango na zile zilizo kwenye profaili yako. Wenzio wa WireGuard kwa kawaida hujibu kwenye 51820/udp; profaili za OpenVPN zinazopita kwenye TCP 443 zinahitaji lango hilo badala yake. Maelezo yanatofautiana, umbo halitofautiani: kanuni zote mbili ni nyembamba, na kwa pamoja zinaeleza maeneo pekee ambayo mashine inaweza kufikia wakati handaki ikiwa chini.

Mpangilio ni hadithi ya pili. Kwa iptables ghafi unasoma mnyororo kutoka juu hadi chini na kufikiri ni kanuni gani inashinda. ufw si kifuniko chembamba kuzunguka orodha uliyochapa; hukusanya kanuni zako kwenye minyororo yake mwenyewe na huchagua sehemu za kuingiza. ufw status huzichapisha kwa mpangilio wa ufw, si wako. Kanuni inapoonekana kupuuzwa, linganisha ufw show added na seti iliyokusanywa kutoka iptables -S | grep ufw kabla ya kuandika upya chochote.

Isipokuwa lazima kibaki kwa upana wa anwani moja

Kanuni ya mwenzio ni sahihi tu wakati inataja anwani ambayo mteja hupiga. Watoa huduma hubadilisha vituo vya mwisho, na profaili inayotatua jina la mwenyeji itafuata mabadiliko ya DNS hadi anwani mpya huku kanuni ikiendelea kuelekeza kwenye ile ya zamani. Handaki iliyofanya kazi kwa miezi inapoacha kupanda, linganisha anwani iliyo kwenye kanuni na ile ambayo mteja anaitafuta kabla ya kupanua chochote.

Kupanua hadi subnet nzima, au hadi kila marudio kwenye lango 1194, hurudisha sera kuwa ngome ya moto yenye shimo. Isipokuwa ndicho kizima; mara tu kinapokuwa kipana, hakuna kitu kilichobaki cha kuzima. Kihifadhi kwenye anwani moja na uache maoni yanayotaja profaili na mtoa huduma inayomilikiwa nayo, kwa sababu baada ya miezi sita anwani itaonekana kuwa ya kubahatisha.

Utatuzi wa majina unastahili mstari wake. Utafutaji hufanyika kabla handaki kuwepo, kupitia kiolesura halisi, kwa hiyo sera kali ya kukataa kutoka inaweza kumwacha mteja ashindwe kupata seva yake mwenyewe. Ruhusu lango 53 kwa anwani ya kitatuzi chako, au tatua mara moja na ubofye anwani kwenye profaili. Kuruhusu DNS kwenye kila kiolesura ni uamuzi, si chaguo-msingi.

Jenga sera kabla handaki haijahitajika

ufw enable hutumia sera yote mara moja na hupakia upya minyororo yake, na kubadilisha sera ya chaguo-msingi kwenye ngome ya moto inayofanya kazi pia hupakia upya. mwongozo wa ufw unaonya kwamba hii inaweza kuangusha miunganisho iliyopo kama SSH. Kwa hiyo amri huenda kwa mpangilio huu, na kanuni ya SSH kabla ya kuwasha na kikao cha konsoli kilicho wazi:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset imeachwa nje ya kizuizi hicho kwa makusudi. Hufuta kila kanuni na huzima ngome ya moto, na kwenye mwenyeji wa mbali kuwasha kunakofuata ndiko kunakoangusha kikao chako. Ikiwa bado utaweka upya, ongeza kanuni ya SSH na uthibitishe njia ya pili ya kurudi kupitia konsoli kabla ya kwenda mbele.

Mpangilio si wa mapambo. Kanuni zinazoongezwa wakati ufw inafanya kazi haziondoi kitu, lakini wakati unageuza sera ya chaguo-msingi minyororo hupakiwa upya, na kikao ambacho sera ya zamani iliruhusu huondoka pamoja nayo. Fanya chaguo-msingi, ruhusa na kuwasha kwa mpigo mmoja, wakati bado una njia ya kuingia isiyotegemea mashine.

Jaribu hali iliyozuiwa, na uhifadhi uondoaji

Kizima kisichojaribiwa ni dhahania. Kata muunganisho wa mteja kwa makusudi na ujaribu kupakia ukurasa: lazima ushindwe. Unganisha tena na lazima upone bila kugusa kanuni. sudo ufw status verbose huthibitisha chaguo-msingi na hali ya ukataji kumbukumbu, na ufw status numbered huonyesha ni kanuni gani ya jaribio la kufuta inapozidi kusudi lake.

Hifadhi hati ya kinyume kando ya ile ya mbele. Mashine iliyo na kukataa kutoka na handaki iliyokufa haiwezi kupakua matengenezo yake yenyewe, kwa hiyo uondoaji lazima uwe kwenye diski na usomeke kutoka konsoli:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Iendeshe wakati handaki ikiwa chini tayari na kanuni zinapaswa kuondolewa, si kama hatua ya kawaida. Kabla ya kufunga terminal, mambo manne lazima yawe kweli: kanuni ya mwenzio inataja anwani moja hasa, DNS ina isipokuwa lililotajwa, kuwasha kulikuja baada ya ruhusa, na kuvuta handaki huua trafiki ya kawaida bila kumuua mteja milele.