కొత్త UFW నియమం, పాత కనెక్షన్: స్థాపిత స్థితి గెలుస్తుంది

నిరాకరణ నియమాన్ని జోడించి, తెరిచిన డౌన్లోడ్ కొనసాగడం చూడటం UFW బగ్ కాదు. మీరు జోడించిన నియమం ఈ ప్రవాహాన్ని ఇప్పటికే అంగీకరించిన నియమాల తర్వాత ఉంటుంది, మునుపు స్థాపితమైన కనెక్షన్ వాటితో సరిపోలుతూనే ఉంటుంది. దీన్ని సరిచేయాలంటే సరైన స్థానంలో చేర్చాలి మరియు మునుపటి నియమాలు ఏమి వాగ్దానం చేస్తాయో అర్థం చేసుకోవాలి. ఆ మార్పు యొక్క సన్నని రూపం క్రింద ఉంది.

నియమం ఉనికి కాదు, క్రమమే నిర్ణయిస్తుంది

UFW అనేది netfilter నియమాలను దశలవారీగా రాసే ముందు భాగం: వినియోగదారు నియమాలకు ముందు నడిచే ఫ్రేమ్వర్క్ విభాగం, తర్వాత వినియోగదారు నియమాలు, తర్వాత వాటి తర్వాత నడిచే విభాగం. ప్రామాణిక మునుపటి నియమాలు స్థాపిత మరియు సంబంధిత కనెక్షన్ల ట్రాఫిక్ను అంగీకరిస్తాయి, ఆ నియమాలు మీరు సాధారణ allow లేదా deny తో జోడించే దేనికంటే ముందు మూల్యాంకనం చేయబడతాయి. UFW ఆదేశ సూచిక చేర్చే వాక్యనిర్మాణాన్ని మరియు ఈ మార్పు ఆధారపడే సంఖ్యా స్థితి వీక్షణను డాక్యుమెంట్ చేస్తుంది.

ఆ క్రమమే ఆశ్చర్యాన్ని వివరిస్తుంది. మీ కొత్త నియమం నిజమైనది మరియు సరైన పట్టికలో ఉంది, కానీ ప్యాకెట్ ఎదుర్కొనే మొదటి నిర్ణయం అది కాదు. ఇప్పటికే స్థాపితంగా ట్రాక్ చేయబడుతున్న కనెక్షన్ అక్కడికి ఎప్పటికీ చేరదు.

ఈ పనికి route నియమాలను ఉపయోగించండి, ఎందుకంటే ప్యాకెట్ గేట్వే యొక్క సొంత సేవలకు చిరునామా కాకుండా గేట్వే ద్వారా ఫార్వార్డ్ అవుతుంది. ఇన్పుట్ నియమం తప్పు ట్రాఫిక్ను ఫిల్టర్ చేసి ఏమీ చేయనట్లు కనిపించేది.

విస్తృత అనుమతి పైన చేర్చండి

వర్తించే ముందు చేర్చడాన్ని మునుజూపుగా చూడండి మరియు నియమం జాబితాలో మరెక్కడా ఇప్పటికే లేదని నిర్ధారించుకోండి. ఒకే విధమైన విధానాన్ని నకిలీ చేయడం తర్వాత తీసివేతను అస్పష్టం చేస్తుంది, తప్పు ప్రతిని తీసివేసే వ్యక్తికి అది వారాల పాటు తెలియదు.

sudo ufw --dry-run route insert 1 deny in on tun0 proto tcp from 10.88.0.55/32 to 192.0.2.88/32

మునుజూపు ఆశించిన స్థానంలో సరిగ్గా ఒక నియమాన్ని చూపిస్తే, dry-run జెండా లేకుండా అదే ఆదేశాన్ని వర్తించండి. స్థానం 1 దాన్ని విస్తృత వినియోగదారు అనుమతుల పైన ఉంచుతుంది, ముందు చర్చించిన ఫ్రేమ్వర్క్ నియమాల పైన కాదు. ఇంటర్ఫేస్ పేరు ఈ గేట్వేలోని టన్నెల్ పరికరానికి సరిపోతుందని నిర్ధారించుకోండి, ఎందుకంటే ఇక లేని ఇంటర్ఫేస్కు బద్ధమైన నియమం జాబితాలో కూర్చొని సరిగ్గా కనిపిస్తుంది కానీ దేనితోనూ సరిపోలదు. వర్తించే ముందే పరికర సూచికను పేరు మార్చండి, పరీక్ష విఫలమైన తర్వాత కాదు.

ఆ నియమంలో గమ్యం పోర్ట్ లేదు, కాబట్టి అది ఆ చిరునామాలో HTTPS మాత్రమే కాదు, ప్రతి TCP పోర్ట్ను నిరాకరిస్తుంది. ఉద్దేశం ఒకే సేవ అయితే పోర్ట్ను పేర్కొనండి; విధానం కంటే విస్తృతమైన నియమం మొదటి పాఠకుడి కోసం ఎదురుచూస్తున్న భవిష్యత్ సంఘటన.

మూలాన్ని ఒకే చిరునామాకు పరిమితం చేయండి, ఆ చిరునామా ఉద్దేశించిన గుర్తింపుకు బద్ధమైతే మాత్రమే. చలనాత్మక కేటాయింపు ఉన్న VPN పూల్ రేపు అదే చిరునామాను మరో క్లయింట్కు ఇవ్వవచ్చు, నిరాకరణ వ్యక్తిని కాదు, చిరునామాను అనుసరిస్తుంది.

స్థాపిత ప్రవాహాలు కొత్త నియమాన్ని తట్టుకుంటాయి

కనెక్షన్ ట్రాకింగ్ ఉన్న సెషన్ కొనసాగడానికి కారణం. ప్రవాహం స్థాపితంగా నమోదైన తర్వాత, మీ నిరాకరణను చూసే ముందే మునుపటి నియమాలు దాని ప్యాకెట్లను అంగీకరిస్తాయి, బదిలీ ఏమీ మారనట్లు ముగుస్తుంది. అందువల్ల తెరిచిన కనెక్షన్ను తిరిగి ఉపయోగించే బ్రౌజర్తో పరీక్షించడం కొత్త విధానం గురించి ఏమీ చెప్పదు. నిరాకరణ అమలు తర్వాత కొన్ని నిమిషాలకే పనికిరానిదిగా కనిపించవచ్చు, తర్వాత కనెక్ట్ అయ్యే వినియోగదారుకు పూర్తిగా ప్రభావవంతంగా ఉండవచ్చు.

అవసరంలో ప్రత్యక్ష ట్రాఫిక్ కత్తిరించడం ఉంటే, ఈ వినియోగదారు-నియమ మార్పు దాన్ని ఇవ్వలేదు. ట్రాక్ చేసిన స్థితిని రద్దు చేయడం దాని స్వంత ప్రభావ పరిధి ఉన్న ప్రత్యేక చర్య, అది నియమం జోడించిన వారిది కాదు, ఫైర్వాల్ యజమానిది. ఒక సెషన్ మాయమవ్వడానికి గేట్వేలోని ప్రతి కనెక్షన్ను ఖాళీ చేయడం రెండవ సంఘటనను సృష్టించే రకమైన సవరణ.

పరిమితులను కూడా గుర్తుంచుకోండి. ఈ నియమం ICMP, UDP లేదా IPv6 గురించి ఏమీ చెప్పదు, కాబట్టి విజయవంతమైన ping నిరాకరణ విఫలమైందనడానికి సాక్ష్యం కాదు. ఒక IPv4 చిరునామా కూడా వెబ్సైట్ కాదు: పేరు అనేక చిరునామాలకు పరిష్కరించబడవచ్చు, మీరు పేర్కొన్నది మాత్రమే కవర్ చేయబడుతుంది.

కొత్త ప్రవాహంతో పరీక్షించండి

సంఖ్యా వినియోగదారు నియమాలను మరియు ప్రభావవంతమైన ముడి వీక్షణను చదివి, తర్వాత ఎంచుకున్న క్లయింట్ నుండి కొత్త కనెక్షన్ తెరవండి:

sudo ufw status numbered
sudo ufw show raw
# from 10.88.0.55, a new TCP connection to 192.0.2.88 should fail

ముడి వీక్షణ ముఖ్యం ఎందుకంటే status చేతితో రాసిన ఫ్రేమ్వర్క్ నియమాలను విడిచిపెడుతుంది, కాబట్టి క్రమం కెర్నెల్ అమలు చేసే దానికంటే భిన్నంగా కనిపించవచ్చు. నియమం తప్పు స్థానంలో ఉందని నిర్ణయించే ముందు రెండింటినీ పోల్చండి.

తర్వాత నియమం విస్తృతం కాదు, సన్ననిది అని నిరూపించే రెండు నియంత్రణలను తనిఖీ చేయండి: అదే క్లయింట్ నుండి అనుమతించిన గమ్యం ఇంకా పనిచేస్తుంది, రెండవ క్లయింట్ తన విధానం అనుమతిస్తే నిరాకరించిన గమ్యాన్ని ఇంకా చేరుకుంటుంది. రెండు పరీక్షలను బద్దలు కొట్టే నిరాకరణ విధాన మార్పు, లక్ష్యిత చర్య కాదు.

పరీక్ష ముగిసిన తర్వాత మీరు జోడించిన నియమాన్ని మాత్రమే తొలగించండి, దాన్ని సరిగ్గా మళ్లీ రాసి. విధానం శాశ్వతమైతే క్లయింట్ గుర్తింపు, గమ్యం యజమాని మరియు సమీక్ష తేదీతో దాన్ని ఫైర్వాల్ యజమానికి అప్పగించండి, తిరిగి కేటాయించిన టన్నెల్ చిరునామా పాత నిరాకరణను వదిలివెళ్లకుండా.