புதிய UFW விதி, பழைய இணைப்பு: நிறுவப்பட்ட நிலையே வெல்கிறது

மறுப்பு விதியைச் சேர்த்துவிட்டு, திறந்த பதிவிறக்கம் தொடர்வதைப் பார்ப்பது UFW பிழை அல்ல. நீங்கள் சேர்த்த விதி இந்தப் போக்கை ஏற்கனவே ஏற்றுக்கொண்ட விதிகளுக்குப் பிறகு அமைகிறது, முன்பு நிறுவப்பட்ட இணைப்பு அவற்றுடன் தொடர்ந்து பொருந்துகிறது. அதைச் சரிசெய்ய சரியான இடத்தில் செருகி, முந்தைய விதிகள் என்ன உறுதி அளிக்கின்றன என்பதைப் புரிந்துகொள்ள வேண்டும். அந்த மாற்றத்தின் குறுகிய வடிவம் கீழே உள்ளது.

விதியின் இருப்பு அல்ல, வரிசையே தீர்மானிக்கிறது

UFW என்பது netfilter விதிகளைப் படிப்படியாக எழுதும் முன்னணி இடைமுகம்: பயனர் விதிகளுக்கு முன் இயங்கும் சட்டகப் பகுதி, பின்னர் பயனர் விதிகள், பின்னர் அவற்றுக்குப் பின் இயங்கும் பகுதி. இயல்புநிலை முந்தைய விதிகள் நிறுவப்பட்ட மற்றும் தொடர்புடைய இணைப்புகளின் டிராஃபிக்கை ஏற்றுக்கொள்கின்றன, அந்த விதிகள் நீங்கள் சாதாரண allow அல்லது deny மூலம் சேர்ப்பதற்கு முன்பே மதிப்பிடப்படுகின்றன. UFW கட்டளை குறிப்பு செருகும் இலக்கணத்தையும், இந்த மாற்றம் சார்ந்திருக்கும் எண்ணிடப்பட்ட நிலைக் காட்சியையும் ஆவணப்படுத்துகிறது.

அந்த வரிசையே ஆச்சரியத்தை விளக்குகிறது. உங்கள் புதிய விதி உண்மையானது, சரியான அட்டவணையில் உள்ளது, ஆனால் பாக்கெட் சந்திக்கும் முதல் முடிவு அது அல்ல. ஏற்கனவே நிறுவப்பட்டதாகக் கண்காணிக்கப்படும் இணைப்பு அங்கு ஒருபோதும் வராது.

இந்த வேலைக்கு route விதிகளைப் பயன்படுத்துங்கள், ஏனெனில் பாக்கெட் நுழைவாயிலின் சொந்த சேவைகளுக்கு முகவரியிடப்படாமல் நுழைவாயில் வழியாக அனுப்பப்படுகிறது. உள்ளீட்டு விதி தவறான டிராஃபிக்கை வடிகட்டி எதுவும் செய்யாதது போலத் தோன்றியிருக்கும்.

பரந்த அனுமதிக்கு மேலே செருகுங்கள்

பயன்படுத்தும் முன் செருகலை முன்னோட்டமாகப் பார்த்து, விதி பட்டியலில் வேறு எங்கும் ஏற்கனவே இல்லை என்பதை உறுதிப்படுத்துங்கள். ஒரே மாதிரியான கொள்கையை நகலெடுப்பது பின்னர் நீக்குவதைத் தெளிவற்றதாக்குகிறது, தவறான நகலை நீக்குபவருக்கு அது வாரக்கணக்கில் தெரியாது.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

முன்னோட்டத்தில் நீங்கள் எதிர்பார்க்கும் இடத்தில் சரியாக ஒரு விதி தெரிந்தால், dry-run கொடி இல்லாமல் அதே கட்டளையைப் பயன்படுத்துங்கள். நிலை 1 அதைப் பரந்த பயனர் அனுமதிகளுக்கு மேலே வைக்கிறது, முன்பு விவாதிக்கப்பட்ட சட்டக விதிகளுக்கு மேலே அல்ல. இடைமுகப் பெயர் இந்த நுழைவாயிலின் சுரங்கச் சாதனத்துடன் பொருந்துகிறதா என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் இனி இல்லாத இடைமுகத்துடன் பிணைக்கப்பட்ட விதி பட்டியலில் அமர்ந்து சரியாகத் தெரியும், ஆனால் எதனுடனும் பொருந்தாது. பயன்படுத்தும் முன் சாதனக் குறிப்பை மறுபெயரிடுங்கள், சோதனை தோல்வியடைந்த பிறகு அல்ல.

அந்த விதியில் இலக்கு துறைமுகம் இல்லை, எனவே அது அந்த முகவரியில் HTTPS மட்டுமல்ல, ஒவ்வொரு TCP துறைமுகத்தையும் மறுக்கிறது. நோக்கம் ஒரே சேவை என்றால் துறைமுகத்தைப் பெயரிடுங்கள்; கொள்கையை விட பரந்த விதி முதல் வாசகரை எதிர்பார்க்கும் எதிர்காலச் சம்பவம்.

மூலத்தை ஒரே முகவரிக்கு மட்டுப்படுத்துங்கள், அந்த முகவரி நோக்கமிட்ட அடையாளத்துடன் பிணைக்கப்பட்டிருந்தால் மட்டும். மாறும் ஒதுக்கீடு கொண்ட VPN தொகுப்பு நாளை அதே முகவரியை வேறு வாடிக்கையாளருக்குத் தரலாம், மறுப்பு நபரை அல்ல, முகவரியைப் பின்தொடரும்.

நிறுவப்பட்ட ஓட்டங்கள் புதிய விதியைத் தாண்டி வாழ்கின்றன

இணைப்புக் கண்காணிப்பே தற்போதைய அமர்வு தொடர்வதற்கான காரணம். ஒரு ஓட்டம் நிறுவப்பட்டதாகப் பதிவானதும், உங்கள் மறுப்பு பார்க்கப்படுவதற்கு முன்பே முந்தைய விதிகள் அதன் பாக்கெட்டுகளை ஏற்றுக்கொள்கின்றன, பரிமாற்றம் எதுவும் மாறாதது போல முடிகிறது. எனவே திறந்த இணைப்பை மீண்டும் பயன்படுத்தும் உலாவியில் சோதிப்பது புதிய கொள்கை பற்றி எதுவும் சொல்லாது. மறுப்பு பயன்பாட்டுக்குப் பின் சில நிமிடங்களில் பயனற்றதாகத் தோன்றலாம், அடுத்து இணைக்கும் பயனருக்கு முழுமையாகப் பயனுள்ளதாகவும் இருக்கலாம்.

தேவையில் நேரடி டிராஃபிக்கைத் துண்டிப்பதும் அடங்கியிருந்தால், இந்தப் பயனர்-விதி மாற்றம் அதைத் தர முடியாது. கண்காணிக்கப்பட்ட நிலையை ரத்து செய்வது அதன் சொந்தத் தாக்க வரம்பைக் கொண்ட தனிக் காரியம், அது விதியைச் சேர்த்தவருக்கு அல்ல, ஃபயர்வால் உரிமையாளருக்கு உரியது. ஒரு அமர்வு மறைவதற்காக நுழைவாயிலில் ஒவ்வொரு இணைப்பையும் காலி செய்வது இரண்டாவது சம்பவத்தை உருவாக்கும் வகையான திருத்தம்.

எல்லைகளையும் நினைவில் வையுங்கள். இந்த விதி ICMP, UDP அல்லது IPv6 பற்றி எதுவும் சொல்லவில்லை, எனவே வெற்றிகரமான ping மறுப்பு தோல்வியடைந்ததற்கான சான்று அல்ல. ஒரு IPv4 முகவரியும் இணையதளம் அல்ல: ஒரு பெயர் பல முகவரிகளாகத் தீர்க்கப்படலாம், நீங்கள் பெயரிட்ட ஒன்று மட்டுமே உள்ளடக்கப்படுகிறது.

புதிய ஓட்டத்துடன் சோதியுங்கள்

எண்ணிடப்பட்ட பயனர் விதிகளையும் பயனுள்ள மூலக் காட்சியையும் படித்துவிட்டு, தேர்ந்தெடுத்த வாடிக்கையாளரிடமிருந்து புதிய இணைப்பைத் திறக்கவும்:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

மூலக் காட்சி முக்கியம், ஏனெனில் status கையால் எழுதப்பட்ட சட்டக விதிகளை விட்டுவிடுகிறது, எனவே வரிசை கர்னல் அமல்படுத்துவதிலிருந்து வேறுபடலாம். ஒரு விதி தவறான இடத்தில் உள்ளது என முடிவெடுக்கும் முன் இரண்டையும் ஒப்பிடுங்கள்.

பின்னர் விதி குறுகியது, பரந்தது அல்ல என்பதை நிரூபிக்கும் இரு கட்டுப்பாடுகளைச் சரிபார்க்கவும்: அதே வாடிக்கையாளரிடமிருந்து அனுமதிக்கப்பட்ட இலக்கு இன்னும் வேலை செய்கிறது, இரண்டாவது வாடிக்கையாளர் தனது கொள்கை அனுமதித்தால் மறுக்கப்பட்ட இலக்கை இன்னும் அடைகிறார். இரு சோதனைகளையும் உடைக்கும் மறுப்பு கொள்கை மாற்றம், இலக்கு நடவடிக்கை அல்ல.

சோதனை முடிந்ததும் நீங்கள் சேர்த்த விதியை மட்டும் அகற்றுங்கள், அதைச் சரியாக மீண்டும் எழுதி. கொள்கை நிரந்தரமானது என்றால், வாடிக்கையாளர் அடையாளம், இலக்கு உரிமையாளர் மற்றும் மறுஆய்வு தேதியுடன் அதை ஃபயர்வால் உரிமையாளரிடம் ஒப்படையுங்கள், மீண்டும் ஒதுக்கப்பட்ட சுரங்க முகவரி பழைய மறுப்பை விட்டுச் செல்லாதபடி.