Ang firewall ng isang Linux distribution ay maaaring humarang sa iyong VPN traffic

Bumangon ang tunel, sinasabi ng log na konektado, at isang application pa rin ang hindi maabot ang kahit ano. Sa isang Linux client, kadalasan ito ay nangangahulugang sinasala ng firewall ng distribution ang isang landas na hindi kailanman pinamahalaan ng VPN client. Dalawang tagapamahala ang maaaring aktibo nang sabay, bawat isa ay may sariling palagay tungkol sa interface, sa sona at sa direksyon ng trapiko. Ang pagtukoy sa may-ari bago baguhin ang anuman ay mas mabilis kaysa sa pagsubok ng mga tuntunin hanggang may gumana.

Hanapin ang tagapamahala at ang backend

Magsimula sa aktwal na nakakarga, hindi sa nakalagay. Ang isang distribution ay maaaring magbigay ng firewalld, ufw at isang ordinaryong serbisyo ng nftables, at isa lamang sa kanila ang nagmamay-ari ng tumatakbong hanay ng mga tuntunin. Mapayapang magkasama ang mga pakete, at ang tuntuning ipinasok sa maling frontend ay hindi kailanman umaabot sa kernel. Basahin ang aktibong serbisyo, pagkatapos basahin ang hanay ng mga tuntunin na ginawa nito.

Ang backend ay kasinghalaga ng frontend. Ang isang instalasyon ng firewalld ay maaaring magpatakbo ng nftables o ng lumang backend na iptables depende sa bersyon at configuration, at magkaiba ang ibinibigay nilang output ng pagsusuri. Isulat ang distribution, ang bersyon at ang backend sa ticket bago ihambing ang iyong sistema sa anumang gabay.

Itugma ang direksyon at ang interface

Ang papalabas na kahilingan ng client, ang pumapasok na tagapakinig at ang ipinasa na pakete ay dumadaan sa magkakaibang hook, at ang tuntunin para sa isa ay hindi sumasaklaw sa iba. Ang sonang nagpapahintulot sa lokal na LAN ay kadalasang hindi kasama ang interface ng tunel o ang pool ng address ng VPN. Ang interface ng tunel ay kadalasang dumarating sa default na sona, na madalas na mas mahigpit kaysa sa sona kung saan naroon ang pisikal na adapter. Ang pagkakaibang iyon ang nagpapaliwanag kung bakit gumagana ang pag-browse sa LAN at tumitigil sa sandaling bumangon ang tunel.

Itanong kung aling direksyon ang nabigo bago pumili ng tuntunin. Ang application na hindi makakonekta palabas ay nangangailangan ng papalarang landas, samantalang ang pumapasok na serbisyo ay nangangailangan ng pumapasok na landas sa interface ng tunel. Ang pagdaragdag ng tuntunin sa maling chain ay lumilikha ng pagbabagong mukhang naipatupad at walang ginagawa.

Panatilihing magkasundo ang mga may-ari ng tuntunin

Ang hook ng isang VPN client, ang runtime ng container at ang serbisyo ng distribution ay maaaring lahat magbago ng network, at hindi sila nag-uugnay sa isa’t isa. Ang mga tuntuning ipinasok sa kamay ay nawawala sa susunod na pagkakarga, at ang mga tuntuning isiningit sa chain ng isang tagapamahala ay maaaring masuri sa isang pagkakasunod-sunod na hindi mo sinadya. Gamitin ang permanenteng configuration ng tagapamahala at siyasatin ang resultang hanay ng mga tuntunin sa halip na ang file na isinulat mo. Ang patayin ang buong firewall dahil isang serbisyo ang hindi maabot ay nagpapalit ng maliit na problema sa malaki.

Ang makitid na counter ay ang murang paraan upang mahanap ang tinanggihang daloy. Ang tuntunin sa pag-log na limitado sa isang destinasyon at isang port ay nagpapakita kung lokal na nangyayari ang pagpapatalsik nang hindi nahuhuli ang trapiko ng iba. Alisin ang tuntunin sa pag-log kapag natapos ang pagsisiyasat, dahil ito ay diagnostic at hindi patakaran, at ang dokumentasyon ng sona ng firewalld ay nagpapaliwanag kung paano nagsasama ang mga interface at serbisyo.

Suriin ang pagtatama nang hindi nawawala ang lockdown

Siyasatin ang inilapat na estado sa tagapamahala na nagmamay-ari nito, gamit ang mga command na tumutugma sa backend na naitala mo. Ipinapalagay ng listahan sa ibaba na firewalld ang may pananagutan; palitan ng katumbas para sa nftables o ufw sa halip na patakbuhin ang lahat. Ang paghahalo ng mga tool sa isang session ay kung paano nauuwi ang isang makina sa dalawang magkasalungat na hanay ng mga tuntunin.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Pinangalanan ng unang command ang mga sona at ang mga interface na itinalaga sa kanila, na nagpapakita kung saan talaga dumarating ang tunel. Ang pangalawa ay naglilimbag ng mga tuntunin at serbisyo ng isang sona, kaya makikita mo kung saklaw man ang interface ng VPN. Ang listahan ng nftables ay ang batayang katotohanan para sa backend na ginagamit, at ang tuntuning umiiral lamang sa isang configuration file ay hindi lumilitaw doon. Ihambing ang tatlong output sa tuntuning idinagdag mo, at ang pagkakaiba ay kadalasang nagsasabi ng sarili nitong pangalan.

Pagkatapos ulitin ang orihinal na kahilingan at ang pag-uugali ng pagpalya na kailangan mo. Ang isang site na bagong gumagana ay hindi sapat kung inalis ng parehong pagbabago ang lockdown ng client, kaya subukan din ang isang landas na walang proteksyon. Itala ang tagapamahala, backend, interface at layunin ng tuntunin, dahil ang isang update ng pakete na muling bubuhay sa ikalawang tagapamahala ay muling itatayo ang buong kalituhan.