Bir Linux dağıtımının güvenlik duvarı VPN trafiğinizi engelleyebilir

Tünel açılıyor, günlük bağlandı diyor ve bir uygulama hâlâ hiçbir yere ulaşamıyor. Bir Linux istemcisinde bu genellikle dağıtımın güvenlik duvarının, VPN istemcisinin hiç yönetmediği bir yolu filtrelediği anlamına gelir. İki yönetici aynı anda etkin olabilir; her birinin arayüz, bölge ve trafik yönü hakkında kendi fikri vardır. Bir şeyi düzenlemeden önce sahibi belirlemek, bir şey çalışana kadar kural denemekten daha hızlıdır.

Yöneticiyi ve arka ucu bulun

Kurulu olandan değil, gerçekten yüklü olandan başlayın. Bir dağıtım firewalld, ufw ve sade bir nftables hizmetiyle gelebilir ve bunlardan yalnızca biri çalışan kural kümesine sahiptir. Paketler barış içinde bir arada yaşar ve yanlış ön uçtan girilen kural çekirdeğe asla ulaşmaz. Etkin hizmeti okuyun, ardından ürettiği kural kümesini okuyun.

Arka uç, ön uç kadar önemlidir. Bir firewalld kurulumu sürüme ve yapılandırmaya bağlı olarak nftables veya eski iptables arka ucunu sürebilir ve ikisi farklı denetim çıktısı üretir. Sisteminizi herhangi bir kılavuzla karşılaştırmadan önce dağıtımı, sürümü ve arka ucu bilete yazın.

Yönü ve arayüzü eşleştirin

Giden istemci isteği, gelen dinleyici ve iletilen paket farklı kancalardan geçer ve birine ait kural diğerlerini kapsamaz. Yerel LAN’a izin veren bir bölge genellikle tünel arayüzünü veya VPN adres havuzunu içermez. Tünel arayüzü genellikle varsayılan bölgeye iner ve bu bölge çoğu zaman fiziksel bağdaştırıcının bulunduğu bölgeden daha katıdır. Bu uyumsuzluk, LAN’da gezinmenin neden çalıştığını ve tünel açıldığı anda neden durduğunu açıklar.

Kural seçmeden önce hangi yönün başarısız olduğunu sorun. Dışarı bağlanamayan bir uygulama çıkış yoluna ihtiyaç duyar, gelen bir hizmet ise tünel arayüzünde giriş yoluna ihtiyaç duyar. Yanlış zincire kural eklemek, uygulanmış gibi görünen ve hiçbir şey yapmayan bir değişiklik üretir.

Kural sahiplerini uyum içinde tutun

Bir VPN istemcisinin kancası, konteyner çalışma ortamı ve dağıtımın hizmeti ağı değiştirebilir, ve birbirleriyle koordine olmazlar. Elle girilen kurallar sonraki yeniden yüklemede kaybolur ve bir yöneticinin zincirine eklenen kurallar amaçlamadığınız bir sırayla değerlendirilebilir. Yöneticinin kalıcı yapılandırmasını kullanın ve yazdığınız dosya yerine ortaya çıkan kural kümesini denetleyin. Bir hizmete ulaşılamadığı için tüm güvenlik duvarını kapatmak küçük bir sorunu büyük bir sorunla değişir.

Dar sayaçlar reddedilen akışı bulmanın ucuz yoludur. Tek bir hedefe ve tek bir bağlantı noktasına sınırlı bir günlükleme kuralı, başkasının trafiğini yakalamadan düşmenin yerel olarak gerçekleşip gerçekleşmediğini gösterir. Araştırma bitince günlükleme kuralını kaldırın, çünkü o bir tanılama aracıdır, politika değildir ve firewalld’nin bölge belgeleri arayüzlerin ve hizmetlerin nasıl birleştiğini açıklar.

Düzeltmeyi kilidi kaybetmeden doğrulayın

Uygulanan durumu, ona sahip olan yöneticiyle ve kaydettiğiniz arka uca uyan komutlarla denetleyin. Aşağıdaki liste firewalld’nin sorumlu olduğunu varsayar; hepsini çalıştırmak yerine nftables veya ufw için eşdeğerini koyun. Araçları tek bir oturumda karıştırmak, bir makinenin çelişen iki kural kümesiyle kalmasının yoludur.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

İlk komut bölgeleri ve onlara atanan arayüzleri adlandırır, bu da tünelin gerçekte nereye indiğini gösterir. İkincisi bir bölgenin kurallarını ve hizmetlerini yazdırır, böylece VPN arayüzünün hiç kapsanıp kapsanmadığını görürsünüz. nftables listesi kullanılan arka uç için temel gerçektir ve yalnızca yapılandırma dosyasında bulunan bir kural orada görünmez. Üç çıktıyı eklediğiniz kuralla karşılaştırın; uyumsuzluk genellikle kendi adını koyar.

Ardından özgün isteği ve gereken başarısızlık davranışını yineleyin. Aynı değişiklik istemcinin kilidini kaldırdıysa yeni çalışan bir site yeterli değildir, bu yüzden korumasız bir yolu da test edin. Yöneticiyi, arka ucu, arayüzü ve kuralın amacını not edin, çünkü ikinci bir yöneticiyi canlandıran bir paket güncellemesi aksi hâlde tüm karmaşayı yeniden kurar.