Pagbubukod ng UFW para sa VPN kapag nagbago ang address ng endpoint

Sinusubukang muling kumonekta ang client at walang lumalabas sa makina, kahit gumana ang parehong profile noong nakaraang linggo. Nagre-resolve na ngayon ang hostname ng endpoint sa ibang address, at ang pagbubukod sa labas ay tumutukoy pa rin sa luma. Ang nag-iisang lipas na pahintulot na iyon ay sapat na upang gawing ganap na pagkaputol ang isang gumaganang kill switch, at hindi ito nakikita sa bawat tagapagpahiwatig ng status na ipinapakita ng desktop. Ang pag-aayos ay isang maliit na daloy ng trabaho, hindi isang pagbabago ng isang linya.

Muling kumokonekta ang tunnel, at wala nang lumalabas

Ang panuntunan sa labas na tumutukoy sa address ng destinasyon ay isang snapshot, at ang mga sagot ng DNS ay hindi. Kapag pinaikot ng provider ang isang address, ang packet na ipinapadala ng client patungo sa bagong peer ay walang tugma at itinatapon ng default na pagtanggi. Nag-uulat naman ang client ng timeout, na parang problema ng server kaysa sa firewall.

Ang pag-pin sa address na ibinabalik ng pampublikong paghahanap ay nagpapagana ngayon at nag-iiwan ng sira bukas. Iyon ay isang beses na pagbabago, hindi isang patakaran sa pagpapanatili.

Ilarawan ang pagbubukod na talagang sinasadya mo

Magsimula sa pagsulat ng apat na halaga na kailangan ng panuntunan: ang aprubadong pangalan ng endpoint o set ng address, ang transport, ang port ng destinasyon at ang interface na dinadaanan ng packet palabas. Lahat ng apat ay bahagi ng pahintulot, at alinman sa mga ito ay maaaring mali habang ang panuntunan ay mukhang makatwiran pa rin. Ang panuntunang tama sa tatlo sa mga ito ay nabigo nang eksakto tulad ng panuntunang mali sa lahat ng apat. Isulat ang mga ito bago i-type ang utos, dahil ang panuntunan ay kasingbuti lamang ng paglalarawan sa likod nito.

Ipapakita ng utos sa ibaba ang hugis para sa isang IPv4 UDP endpoint sa kable na uplink. Palitan ang parehong halaga ng mga na-verify mo laban sa deployment.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Hindi pinahihintulutan ng pahintulot na iyon ang arbitraryong destinasyon sa parehong port, hindi gumagawa ng listener at hindi sumasaklaw sa TCP. Inilalarawan ng pahina ng manwal ng UFW kung paano pinaliit ng address, interface at protocol ang isang panuntunan, at ang pagpapaliit na iyon ang buong punto.

I-refresh ito bilang isang daloy ng trabaho

Ituring ang pagbubukod bilang isang mapagkukunan na may may-ari at transisyon, hindi bilang isang utos na natatandaan ng isang tao na patakbuhin. Kumuha muna ng kandidato mula sa resolver at imbentaryo ng endpoint ng deployment mismo, at sadyang tukuyin kung paano nire-resolve ang pangalang iyon bago pa man umiral ang tunnel. Pagkatapos ay i-validate ang kandidato laban sa nilalayong protocol, port at pamilya ng address bago hawakan ang set ng panuntunan.

I-install muna ang bagong makitid na pahintulot at kumpirmahing na-load ito, dahil ang paghiling sa client na gumamit ng address na hinaharangan pa rin ng firewall ay gumagawa ng kabiguan na mukhang sira ng server. Iwanang hindi ginalaw ang mga walang kaugnayang panuntunan habang nagbabago.

Obserbahan ang transisyon ng client sa sinusuportahang landas ng muling pagkonekta at kumpirmahin kung aling remote address ang pinili nito. Ang pag-update lamang ng DNS ay hindi gumagalaw ng umiiral na socket, at ang setting ng pagtitiyaga ng endpoint ay maaaring magpanatili ng client sa lumang peer matagal pagkatapos magbago ang record.

Sa huli, sadyang ipagretiro ang lipas na pahintulot, na pinapayagan ang aprubadong overlap na window habang aktibo pa ang lumang session. Ang pag-alis ng lumang entry nang masyadong maaga ay gumagawa ng maikling pagkaputol; ang pag-iwan dito magpakailanman ay nag-iiwan ng pahintulot na walang makapagpapaliwanag.

Sadyang ipagretiro ang lumang pahintulot

Ang pag-alis ang lugar kung saan naroon ang karamihan ng panganib, dahil ang lumang panuntunan ang tanging bagay na gumagana ngayon. Kung nabigo ang pag-install ng kandidato, huwag magpatuloy at huwag burahin ang entry na nagdadala pa rin ng trapiko. Kung nabigo ang pag-alis mismo, itala ang lipas na pahintulot bilang lipas sa halip na ideklarang napapanahon ang patakaran.

Ulitin ang buong pagsusuri kapag nagbago ang uplink mula Ethernet patungong Wi-Fi, kapag nagbago ang transport, o kapag umiikot ang isang serbisyo sa ilang address. Ang panuntunang partikular sa interface ay dapat tumigil sa pagtutugma pagkatapos ng pagbabago ng network, at tama ang gawi na iyon kahit mukhang pagbabalik sa dati.

Patunayan ang kontrata pagkatapos gamit ang walang peligrong trapiko. Dapat maabot ang aprubadong endpoint habang nagse-set up, dapat gumana ang protektadong aplikasyon kapag nakakonekta na, at dapat manatiling naka-block ang walang kaugnayang direktang trapiko habang may pagkaputol. Isama ang dalawang pamilya ng address at isang sadyang nabigong pagtatangka sa pag-update, dahil ang koneksyong nagtagumpay pagkatapos ng isang pagbabago sa naka-pin na address ay hindi nagpapatunay ng alinman sa mga kasong iyon.