VPN వెనుక ఉన్న సేవకు ufw allow 443 ఏమీ చేయలేదు

VPN క్లయింట్ నుండి ping విజయవంతమవుతుంది, TCP సేవ సమయం మించిపోతుంది, మరియు ufw allow 443/tcp ఏమీ మార్చదు. అప్లికేషన్ గేట్‌వేపైనే కాకుండా గేట్‌వే వెనుక ఉన్న హోస్ట్‌పై నడిచినప్పుడు, ఆ అనుమతి తప్పు ట్రాఫిక్ మార్గానికి రాయబడింది. ప్యాకెట్ ఫైర్‌వాల్‌కు చిరునామా చేయబడలేదు మరియు స్థానిక ప్రక్రియకు అందించబడదు, కాబట్టి ఇన్‌పుట్ నియమాలు దాన్ని ఎప్పటికీ చూడవు. పరిష్కారం ఫార్వర్డ్ అయ్యే ప్రవాహాన్ని లక్ష్యంగా చేసుకున్న మార్గ నియమం, దాని రుజువు ఇప్పటికే లాగ్‌లో ఉంది.

గమ్యం స్థానికమా లేదా ఫార్వర్డ్ చేయబడిందా అని నిర్ణయించండి

కెర్నల్ చూసిన విధంగానే ప్యాకెట్ చదవండి. గేట్‌వేపై ఉన్న సేవకు అందించే ట్రాఫిక్ స్థానిక ఇన్‌పుట్. గేట్‌వే మరో హోస్ట్ వైపు ఫార్వర్డ్ చేసే ట్రాఫిక్ ఫార్వర్డ్ చేయబడినది, మరియు UFW రెండు మార్గాలకు వేర్వేరు నియమ సమితులను ఉంచుతుంది. ఈ భేదాన్ని గమ్య చిరునామా మరియు మార్గ శోధన నిర్ణయిస్తాయి, ప్యాకెట్ వచ్చిన ఇంటర్‌ఫేస్ కాదు.

IN మరియు OUT రెండు ఫీల్డ్‌లలోనూ ఒకే ఇంటర్‌ఫేస్ చూపించే లాగ్ లైన్ ఇప్పటికీ మార్గీకృత ప్యాకెట్‌ను వివరించగలదు, ఎందుకంటే ఒకే పరికరం నుండి క్లయింట్లను లోపలికి, బయటకు తీసుకెళ్లే సొరంగం సరిగ్గా అలాగే కనిపిస్తుంది. ఇంటర్‌ఫేస్ పేర్ల కంటే గమ్య చిరునామా ఈ ప్రశ్నను వేగంగా పరిష్కరిస్తుంది. ఒకే పేరును రెండుసార్లు చూడటం స్థానిక డెలివరీని నిరూపించదు, మరియు పంపిణీ ఎప్పుడూ సృష్టించని సొరంగ ఇంటర్‌ఫేస్‌ను కల్పించడం కూడా సహాయపడదు.

ఏ నియమాన్ని జోడించే ముందు బ్లాక్ చదవండి

ఒక అధీకృత కనెక్షన్ ప్రయత్నాన్ని తిరిగి ఉత్పత్తి చేసి, గేట్‌వే నమోదు చేసిన విధంగా దాని మూలం, గమ్యం, ప్రోటోకాల్ మరియు గమ్య పోర్టును సంగ్రహించండి. ఆ నాలుగు విలువలను లాగ్ నమోదు మరియు సేవ యొక్క నిజమైన స్థానంతో పోల్చండి. మునుపటి విజయవంతమైన ping దాని స్వంత మార్పిడి మాత్రమే అనుమతించబడిందని నిరూపిస్తుంది, మరియు ఫైర్‌వాల్ అప్లికేషన్ వైపు వెళ్లే TCP SYN ను పూర్తిగా భిన్నంగా నిర్వహించవచ్చు.

sudo dmesg | grep "UFW BLOCK" | tail -n 5
sudo ufw status numbered

మొదటి ఆదేశం తీర్పును దాని ఫీల్డ్‌లతో తిరిగి ఇస్తుంది, రెండవది ఏమి ఇప్పటికే లోడ్ అయిందో మరియు ఏ క్రమంలో ఉందో చూపిస్తుంది. ఏదైనా సవరించే ముందు రెండింటినీ చదవండి, ఎందుకంటే మీ నియమం పైన ఉన్న మునుపటి తిరస్కరణ ఏ నియమం లేకపోయినా అదే లక్షణాన్ని వివరిస్తుంది.

సరిపోయే అత్యంత సన్నని మార్గ నియమాన్ని రాయండి

ఈ ఉదాహరణలో క్లయింట్లు 172.20.8.0/24 నుండి tun0 కు వస్తారు, సేవ 8443 పోర్టులో 10.30.0.15 పై వినిపిస్తుంది, మరియు గేట్‌వే ens5 ద్వారా బయటకు వెళ్తుంది. ఆ విలువలు క్లౌడ్ VPC డిఫాల్ట్ 10.0.0.0/16 లేదా ఇంటి 192.168.0.0/16 లాగా అసలు కనిపించకుండా ఎంచుకోబడ్డాయి, మరియు 8443 ఉదాహరణను గేట్‌వే సొంత 443 శ్రోత నుండి దూరంగా ఉంచుతుంది.

sudo ufw --dry-run route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443

డ్రై రన్ ఏర్పడే నియమ సమితిని ముద్రిస్తుంది, మరియు మీ నియమం ఉన్న తిరస్కరణకు ముందు లేదా తర్వాత పడుతుందో చూడటానికి ఇది చవకైన మార్గం. ఇంటర్‌ఫేస్ పేర్లు మరియు లోపలి చిరునామాలను ఉదాహరణతో కాకుండా పంపిణీతో సరిపోల్చి నిర్ధారించండి, మరియు గమ్య NAT మొదట నడిచినప్పుడు ఫిల్టర్ అనువదించబడిన గమ్యాన్ని చూస్తుందని గుర్తుంచుకోండి.

తిరిగి వచ్చే మార్గాన్ని స్థితితో ఉంచండి

UFW అనుమతించిన కనెక్షన్లను ట్రాక్ చేస్తుంది, కాబట్టి అనుమతించిన ఫార్వర్డ్ ప్రవాహానికి సమాధానాలు స్పష్టమైన వ్యతిరేక నియమం లేకుండా అంగీకరించబడతాయి. పనులు జరగడానికి వ్యతిరేక దిశలో పరిమితి లేని నియమాన్ని జోడించడం విధానాన్ని ఒక సేవకు చాలా దూరం విస్తరిస్తుంది మరియు సాధారణ అభ్యర్థన-సమాధాన మార్పిడికి అది అవసరం లేదు. తిరిగి వచ్చే మార్గాన్ని అంతర్లీనంగా, నియమ సమితిని చదవగలిగేలా ఉంచండి.

డ్రై రన్ మీ ఉద్దేశ్యంతో సరిపోలిన తర్వాత మాత్రమే నియమాన్ని వర్తింపజేయండి, ఆపై క్రమబద్ధమైన జాబితా దాన్ని ఆశించిన స్థానంలో చూపిస్తుందని నిర్ధారించండి. VPN శ్రోతను మరియు నిర్వహణ నియమాలను వేర్వేరు విషయాలుగా ఉంచండి, ఎందుకంటే వాటిని మార్చడం ఒక అప్లికేషన్‌ను అనుమతించడం కంటే భిన్నమైన నిర్ణయం. టోపాలజీ రాసిన అదే చోట మార్పును నమోదు చేయండి, తదుపరి ఇంజనీర్ దాన్ని ప్యాకెట్ క్యాప్చర్ నుండి మళ్లీ కనుగొనాల్సిన అవసరం లేకుండా.

sudo ufw route allow in on tun0 out on ens5 proto tcp from 172.20.8.0/24 to 10.30.0.15 port 8443
sudo ufw status numbered

UFW మీ తరఫున ఏమి అమలు చేయలేదో తనిఖీ చేయండి

సరైన నియమానికి ఇంకా కెర్నల్ ఫార్వర్డింగ్ మరియు సేవను చేరే మార్గం అవసరం. ఫైర్‌వాల్‌ను రెండవసారి నిందించే ముందు రెండింటినీ నిర్ధారించండి.

sysctl net.ipv4.ip_forward
ip route get 10.30.0.15

ఆపై హోస్ట్ వెలుపల చూడండి. క్లౌడ్ ఇన్‌స్టాన్స్‌లో అతిథి UFW విధానం భద్రతా సమూహాలు, సబ్‌నెట్ ACL లేదా ప్రదాత సొంత ఫార్వర్డింగ్ కాన్ఫిగరేషన్‌ను భర్తీ చేయదు, కాబట్టి స్థానిక నిరోధం ఒక పొర గురించిన రుజువు, మిగతా అన్ని పొరలు సేవను అనుమతిస్తాయని రుజువు కాదు.

ఫైర్‌వాల్ ఆన్‌లో ఉండగా కొత్త కనెక్షన్‌ను పరీక్షించి ముగించండి, అనుమతించిన మూలం నుండి మరియు సంబంధం లేని మూలం నుండి. UFW ను నిలిపివేయడం ఒకే ఆదేశంలో లక్షణాన్ని తొలగిస్తుంది మరియు రుజువును నాశనం చేస్తుంది, కాబట్టి అది మొదటిది కాకుండా చివరి ప్రయోగం అయి ఉండాలి.