Kighairi cha UFW kwa VPN wakati anwani ya kituo cha mwisho inabadilika

Mteja anajaribu kuunganisha tena na hakuna kinachotoka kwenye mashine, ingawa wasifu huo huo ulifanya kazi wiki iliyopita. Jina la host la kituo cha mwisho sasa linatatuliwa kwa anwani nyingine, na kighairi cha kutoka bado kinataja ile ya zamani. Ruhusa hiyo moja iliyopitwa na wakati inatosha kubadilisha kill switch inayofanya kazi kuwa usumbufu kamili, na haionekani katika kila kiashiria cha hali kinachoonyeshwa na desktop. Ukarabati ni mtiririko mdogo wa kazi, si mabadiliko ya mstari mmoja.

Tunnel inaunganisha tena, kisha hakuna kinachotoka

Kanuni ya kutoka inayotaja anwani ya lengwa ni picha ya papo hapo, na majibu ya DNS hayana. Mtoa huduma anapozungusha anwani, pakiti ambayo mteja hutuma kuelekea peer mpya hailingani na kitu chochote na hutupwa na katazo la msingi. Mteja kisha anaripoti muda kuisha, jambo ambalo linasikika kama tatizo la seva badala ya firewall.

Kubandika anwani yoyote ambayo utafutaji wa umma hurejesha hufanya leo lifanye kazi na kuacha kesho ikiwa imevunjika. Hilo ni badiliko la mara moja, si sera ya matengenezo.

Eleza kighairi unachokusudia kwa kweli

Anza kwa kuandika thamani nne ambazo kanuni inahitaji: jina au seti ya anwani za kituo cha mwisho kilichoidhinishwa, usafirishaji, lango la lengwa na kiolesura ambacho pakiti hutoka. Zote nne ni sehemu ya ruhusa, na yoyote kati yao inaweza kuwa mbaya huku kanuni ikionekana kuwa ya kuridhisha. Kanuni iliyo sahihi katika tatu kati yao inashindwa sawa na kanuni iliyo mbaya katika zote nne. Ziandike kabla ya kuandika amri, kwa sababu kanuni ni nzuri kadiri maelezo yaliyo nyuma yake yalivyo.

Amri hapa chini inaonyesha umbo la kituo kimoja cha mwisho cha IPv4 UDP kwenye uplink ya waya. Badilisha thamani zote mbili na zile ulizothibitisha dhidi ya uwekaji.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Ruhusa hiyo hairuhusu maeneo ya kiholela kwenye lango lile lile, haitengenezi msikilizaji na haigusi TCP. Ukurasa wa mwongozo wa UFW unaeleza jinsi anwani, kiolesura na itifaki hupunguza kanuni, na upunguzaji huo ndio hoja yote.

Isasisha kama mtiririko mmoja wa kazi

Tendea kighairi kama rasilimali yenye mmiliki na mpito, si kama amri ambayo mtu hukumbuka kuendesha. Kwanza pata mtahiniwa kutoka kwa kitatuzi na orodha ya vituo vya mwisho vya uwekaji wenyewe, na eleza kwa makusudi jinsi jina hilo linatatuliwa kabla tunnel haipo. Kisha thibitisha mtahiniwa dhidi ya itifaki, lango na familia ya anwani inayokusudiwa kabla ya kugusa seti ya kanuni.

Sakinisha kwanza ruhusa mpya nyembamba na thibitisha kwamba imepakiwa, kwa sababu kumwomba mteja atumie anwani ambayo firewall bado inaizuia hutoa kosa linaloonekana kama hitilafu ya seva. Acha kanuni zisizohusiana bila kuguswa wakati wa mabadiliko.

Angalia mpito wa mteja kupitia njia yake ya kuunganisha tena inayotumika na uthibitishe ni anwani gani ya mbali aliyochagua. Kusasisha DNS pekee hakuhamishi socket iliyopo, na mpangilio wa kudumu wa kituo cha mwisho unaweza kumweka mteja kwenye peer ya zamani muda mrefu baada ya rekodi kubadilika.

Hatimaye ondoa ruhusa iliyopitwa na wakati kwa makusudi, ukiruhusu dirisha la mwingiliano lililoidhinishwa wakati kikao cha zamani kikiwa bado hai. Kuondoa kiingilio cha zamani mapema sana hutoa usumbufu mfupi; kuiacha milele huacha ruhusa ambayo hakuna anayeweza kuieleza.

Ondoa ruhusa ya zamani kwa makusudi

Kuondoa ndiko kunako mahali hatari nyingi zilipo, kwa sababu kanuni ya zamani ndiyo kitu pekee kinachofanya kazi sasa hivi. Ikiwa usakinishaji wa mtahiniwa umeshindikana, usiendelee na usifute kiingilio ambacho bado kinabeba trafiki. Ikiwa kuondoa yenyewe kumeshindikana, rekodi ruhusa iliyopitwa na wakati kama iliyopitwa na wakati badala ya kutangaza sera kuwa ya sasa.

Rudia ukaguzi wote wakati uplink inabadilika kutoka Ethernet kwenda Wi-Fi, wakati usafirishaji unabadilika, au wakati huduma inazunguka kwenye anwani kadhaa. Kanuni maalum ya kiolesura inapaswa kuacha kulingana baada ya mabadiliko ya mtandao, na tabia hiyo ni sahihi ingawa inaonekana kama kurudi nyuma.

Thibitisha mkataba baadaye kwa trafiki isiyo na madhara. Kituo cha mwisho kilichoidhinishwa lazima kifikike wakati wa usanidi, programu iliyolindwa lazima ifanye kazi mara tu inapounganishwa, na trafiki ya moja kwa moja isiyohusiana lazima ibaki imezuiwa wakati wa usumbufu. Jumuisha familia zote mbili za anwani na jaribio moja la kusasisha lililoshindikana kwa makusudi, kwa sababu muunganisho unaofanikiwa baada ya badiliko moja la anwani iliyobandikwa hauthibitishi hata moja ya kesi hizo.