UFW இன் கில் சுவிட்ச் உங்கள் VPN ஐத் தடுக்கிறதா? பியரை அனுமதிக்கவும்

நீங்கள் சரிபார்ப்பு பட்டியலைப் பின்பற்றினீர்கள்: வெளியேறுவதை மறுக்கவும், சுரங்கப்பாதையை அனுமதிக்கவும், ufw ஐ இயக்கவும். பிறகு கிளையண்ட் கைக்குலுக்கலில் காத்திருக்கிறது, ஒருபோதும் இணைக்கவில்லை, அல்லது இணைக்கிறது, எந்தப் பக்கமும் ஏற்றப்படவில்லை. இரண்டு தோல்விகளும் ஒரே இடைவெளியிலிருந்து வருகின்றன. சுரங்கப்பாதை இருக்க அனுமதிக்கும் விதி இல்லை, ஏனெனில் சுரங்கப்பாதை உங்கள் பாக்கெட்டுகள் வெளியேறும் இடைமுகம் அல்ல.

tun0 மீதான அனுமதி ஆரம்பத்தில் எதற்கும் பொருந்தாதது ஏன்

அமர்வு இருந்த பிறகு கிளையண்ட் tun0 ஐ உருவாக்குகிறது. அந்த அமர்வை உருவாக்கும் தரவுக்கிராம் போர்ட் 1194 இல் வழங்குநருக்கு அனுப்பப்படும் சாதாரண UDP பாக்கெட்டுகள், அவை இயற்பியல் மூல முகவரியுடன் wlan0 அல்லது eth0 வழியாக வெளியேறுகின்றன. allow out on tun0 வெளியேறும் இடைமுகம் tun0 ஆக இருக்கும் டிராஃபிக்குடன் மட்டுமே பொருந்தும், எனவே கைக்குலுக்கலின் போது அது எதற்கும் பொருந்தாது.

அதன் மேல் default deny outgoing வைக்கவும், இடைமுகம் தோன்றுவதற்கு முன்பே வெளிப்புற பாக்கெட்டுகள் நிராகரிக்கப்படும். கிளையண்ட் மீண்டும் முயற்சிக்கிறது, நேரம் முடிகிறது, TLS அல்லது கைக்குலுக்கல் தோல்வியைப் புகாரளிக்கிறது, இது மக்களை சான்றிதழ்கள் மற்றும் MTU இல் தேடச் செய்கிறது, அதே நேரத்தில் ஃபயர்வால் அமைதியாக இணைப்பை உண்கிறது. உங்கள் டிராஃபிக்கைத் தடுக்க வேண்டிய விதியே அந்த டிராஃபிக் தடுக்கப்படுவதைத் தடுக்கிறது.

பிரதிபலிப்பு சரிசெய்தல் கசிவை நிரந்தரமாக்குகிறது. sudo ufw allow out on wlan0, அல்லது இயல்புநிலையை மீண்டும் அனுமதிக்கு மாற்றுவது, சுரங்கப்பாதையை மேலே எழுப்பி இயந்திரத்தை கில் சுவிட்ச் இல்லாமல் விடுகிறது: அடுத்த முறை சுரங்கப்பாதை விழும்போது, எல்லாம் இயற்பியல் அடாப்டர் வழியாக மீண்டும் தொடங்கும். அந்த இரண்டு மாற்றங்களிலேயே ஒரு மதியத்தை இழந்தேன், நான் உண்மையில் எந்தப் பாக்கெட்டை வடிகட்டுகிறேன் என்பதை அறியும் முன்.

இரண்டு பாக்கெட் தொகுதிகளுக்கு என்ன தேவை

உங்கள் டிராஃபிக் ஃபயர்வாலை இருமுறை, இரண்டு வடிவங்களில் கடக்கிறது. உள் பாக்கெட் சுரங்கப்பாதை முகவரியிலிருந்து tun0 வழியாக வெளியே செல்கிறது. வெளி பாக்கெட் இயற்பியல் முகவரியிலிருந்து பியருக்குச் செல்கிறது, கம்பியில் தெரிவது அதுவே. ஒவ்வொரு வடிவத்திற்கும் ஒரு விதி:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

முகவரி மற்றும் போர்ட்டை உங்கள் சொந்த சுயவிவரத்திலிருந்து மாற்றவும். WireGuard பியர்கள் பொதுவாக 51820/udp இல் பதிலளிக்கின்றன; TCP 443 வழியாகச் செல்லும் OpenVPN சுயவிவரங்களுக்கு அதற்குப் பதிலாக அந்த போர்ட் தேவை. விவரங்கள் வேறுபடும், வடிவம் இல்லை: இரண்டு விதிகளும் குறுகியவை, ஒன்றாக அவை சுரங்கப்பாதை கீழே இருக்கும்போது இயந்திரம் அடையக்கூடிய ஒரே இடங்களை வரையறுக்கின்றன.

வரிசை இரண்டாவது கட்டுக்கதை. மூல iptables உடன் நீங்கள் சங்கிலியை மேலிருந்து கீழாகப் படித்து எந்த விதி வெல்லும் என்று யோசிக்கிறீர்கள். ufw நீங்கள் தட்டச்சு செய்த பட்டியலைச் சுற்றியுள்ள மெல்லிய உறை அல்ல; அது உங்கள் விதிகளை அதன் சொந்த சங்கிலிகளாகத் தொகுத்து செருகும் புள்ளிகளைத் தேர்ந்தெடுக்கிறது. ufw status அவற்றை ufw வரிசையில் அச்சிடுகிறது, உங்கள் வரிசையில் அல்ல. ஒரு விதி புறக்கணிக்கப்பட்டதாகத் தோன்றினால், எதையும் மீண்டும் எழுதுவதற்கு முன் ufw show added ஐ தொகுக்கப்பட்ட தொகுப்புடன் iptables -S | grep ufw ஒப்பிடுங்கள்.

விதிவிலக்கு ஒரு முகவரி அகலத்திலேயே இருக்க வேண்டும்

பியர் விதி கிளையண்ட் அழைக்கும் முகவரியைக் குறிப்பிடும் வரை மட்டுமே சரியானது. வழங்குநர்கள் முனைப் புள்ளிகளைச் சுழற்றுகிறார்கள், ஹோஸ்ட் பெயரைத் தீர்க்கும் சுயவிவரம் DNS மாற்றத்தைப் பின்தொடர்ந்து புதிய முகவரிக்குச் செல்லும், விதி பழைய முகவரியையே சுட்டிக்காட்டும். மாதக்கணக்கில் வேலை செய்த சுரங்கப்பாதை ஏறுவதை நிறுத்தும்போது, எதையும் விரிவுபடுத்துவதற்கு முன் விதியில் உள்ள முகவரியை கிளையண்ட் தேடும் முகவரியுடன் ஒப்பிடுங்கள்.

முழு சப்நெட்டுக்கோ, அல்லது போர்ட் 1194 இல் உள்ள ஒவ்வொரு இலக்குக்கோ விரிவுபடுத்துவது கொள்கையை மீண்டும் துளையுள்ள ஃபயர்வாலாக மாற்றுகிறது. விதிவிலக்கே கில் சுவிட்ச்; அது அகலமானதும், நிறுத்த எதுவும் மீதமில்லை. அதை ஒரே முகவரியில் வைத்து, எந்த சுயவிவரம் மற்றும் வழங்குநருக்குச் சொந்தமானது என்பதைக் குறிப்பிடும் கருத்தை விடுங்கள், ஏனெனில் ஆறு மாதங்களில் முகவரி தன்னிச்சையாகத் தோன்றும்.

பெயர் தீர்வு அதன் சொந்த வரிக்குத் தகுதியானது. தேடல் சுரங்கப்பாதை இருப்பதற்கு முன், இயற்பியல் இடைமுகம் வழியாக நடக்கிறது, எனவே கடுமையான வெளியேறு-மறுப்பு கொள்கை கிளையண்டை அதன் சொந்த சேவையகத்தைக் கண்டுபிடிக்க முடியாதபடி விடலாம். உங்கள் தீர்வியின் முகவரிக்கு போர்ட் 53 ஐ அனுமதிக்கவும், அல்லது ஒருமுறை தீர்த்து முகவரியை சுயவிவரத்தில் பின்னவும். ஒவ்வொரு இடைமுகத்திலும் DNS ஐ அனுமதிப்பது ஒரு முடிவு, இயல்புநிலை அல்ல.

சுரங்கப்பாதை தேவைப்படுவதற்கு முன் கொள்கையை உருவாக்குங்கள்

ufw enable முழு கொள்கையையும் ஒரே நேரத்தில் பயன்படுத்தி அதன் சங்கிலிகளை மீண்டும் ஏற்றுகிறது, இயங்கும் ஃபயர்வாலில் இயல்புநிலைக் கொள்கையை மாற்றுவதும் அவற்றை மீண்டும் ஏற்றுகிறது. ufw கையேடு இது SSH போன்ற தற்போதுள்ள இணைப்புகளை வீழ்த்தக்கூடும் என்று எச்சரிக்கிறது. எனவே கட்டளைகள் இந்த வரிசையில் செல்கின்றன, SSH விதி இயக்குவதற்கு முன் மற்றும் கன்சோல் அமர்வு திறந்திருக்க:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset வேண்டுமென்றே அந்தத் தொகுதியிலிருந்து விலக்கப்பட்டுள்ளது. இது ஒவ்வொரு விதியையும் நீக்கி ஃபயர்வாலை முடக்குகிறது, தொலை ஹோஸ்ட்டில் அடுத்த இயக்கமே உங்கள் அமர்வை வீழ்த்துகிறது. இருந்தாலும் மீட்டமைத்தால், SSH விதியைச் சேர்த்து, மேலே செல்வதற்கு முன் கன்சோல் வழியாகத் திரும்பும் இரண்டாவது வழியை உறுதிப்படுத்துங்கள்.

வரிசை அலங்காரமல்ல. ufw இயங்கும்போது சேர்க்கப்படும் விதிகள் எதையும் ஃபிளஷ் செய்யாது, ஆனால் இயல்புநிலைக் கொள்கையைத் திருப்பும் தருணத்தில் சங்கிலிகள் மீண்டும் ஏற்றப்படும், பழைய கொள்கை அனுமதித்த அமர்வும் அவற்றுடன் செல்லும். இயல்புநிலைகள், அனுமதிகள் மற்றும் இயக்கத்தை ஒரே பாதையில் செய்யுங்கள், இயந்திரத்தைச் சாராத நுழைவு வழி இன்னும் இருக்கும்போது.

தடுக்கப்பட்ட நிலையைச் சோதித்து, திரும்பப் பெறுதலை வைத்திருங்கள்

சோதிக்கப்படாத கில் சுவிட்ச் ஒரு ஊகம். கிளையண்டை வேண்டுமென்றே துண்டித்து ஒரு பக்கத்தை ஏற்ற முயற்சிக்கவும்: அது தோல்வியடைய வேண்டும். மீண்டும் இணைக்கவும், எந்த விதியையும் தொடாமல் அது மீள வேண்டும். sudo ufw status verbose இயல்புநிலைகளையும் பதிவு நிலையையும் உறுதிப்படுத்துகிறது, ufw status numbered சோதனை விதி அதன் நோக்கத்தை மிஞ்சும்போது எதை நீக்க வேண்டும் என்பதைக் காட்டுகிறது.

தலைகீழ் ஸ்கிரிப்ட்டை முன்னோக்கிய ஒன்றின் அருகில் வைத்திருங்கள். வெளியேறு-மறுப்பு மற்றும் இறந்த சுரங்கப்பாதை உள்ள இயந்திரம் அதன் சொந்த பழுதைப் பதிவிறக்க முடியாது, எனவே திரும்பப் பெறுதல் வட்டில் இருக்க வேண்டும், கன்சோலிலிருந்து படிக்கக்கூடியதாக இருக்க வேண்டும்:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

சுரங்கப்பாதை ஏற்கனவே கீழே இருக்கும்போதும் விதிகள் அகற்றப்பட வேண்டியபோதும் அதை இயக்கவும், வழக்கமான படியாக அல்ல. முனையத்தை மூடுவதற்கு முன் நான்கு விஷயங்கள் உண்மையாக இருக்க வேண்டும்: பியர் விதி சரியாக ஒரு முகவரியைக் குறிப்பிடுகிறது, DNS க்கு பெயரிடப்பட்ட விதிவிலக்கு உள்ளது, இயக்கம் அனுமதிகளுக்குப் பிறகு வந்தது, சுரங்கப்பாதையை இழுப்பது சாதாரண டிராஃபிக்கைக் கொல்லும், கிளையண்டை என்றென்றும் கொல்லாது.