Виняток UFW для VPN, коли змінюється адреса кінцевої точки

Клієнт намагається перепідключитися, і з машини нічого не виходить, хоча той самий профіль працював минулого тижня. Ім'я хоста кінцевої точки тепер розв'язується в іншу адресу, а вихідний виняток досі називає стару. Цього єдиного застарілого дозволу достатньо, щоб перетворити робочий kill switch на повний простій, і він невидимий у будь-якому індикаторі стану, який показує робочий стіл. Виправлення — невеликий робочий процес, а не правка одного рядка.

Тунель перепідключається, і нічого не виходить

Вихідне правило, яке називає адресу призначення, — це знімок, а відповіді DNS такими не є. Коли постачальник змінює адресу, пакет, який клієнт надсилає до нового піра, нічому не відповідає і відкидається забороною за замовчуванням. Далі клієнт повідомляє про вичерпання часу очікування, що виглядає як проблема сервера, а не міжмережевого екрана.

Закріплення адреси, яку поверне публічний запит, змусить сьогодні працювати, а завтра зламається. Це разова правка, а не політика обслуговування.

Опишіть виняток, який ви справді маєте на увазі

Почніть із запису чотирьох значень, потрібних правилу: схвалене ім'я кінцевої точки або набір адрес, транспорт, порт призначення та інтерфейс, через який пакет виходить. Усі чотири входять до дозволу, і будь-яке з них може бути хибним, поки правило все ще виглядає правдоподібно. Правило, правильне в трьох із них, відмовляє точно так само, як правило, хибне в усіх чотирьох. Запишіть їх до введення команди, бо правило добре рівно настільки, наскільки добре опис за ним.

Команда нижче показує форму для однієї кінцевої точки IPv4 UDP на дротовому аплінку. Замініть обидва значення тими, які ви перевірили щодо розгортання.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Цей дозвіл не дає права на довільні призначення на тому самому порту, не створює слухача і не покриває TCP. Сторінка посібника UFW описує, як адреса, інтерфейс і протокол звужують правило, і саме це звуження і є суть.

Оновіть це як один робочий процес

Ставтеся до винятку як до ресурсу з власником і переходом, а не як до команди, яку хтось згадає виконати. Спочатку отримайте кандидата з власного резолвера й інвентаря кінцевих точок розгортання і свідомо визначте, як це ім'я розв'язується до появи тунелю. Потім перевірте кандидата щодо передбачуваного протоколу, порту й родини адрес, перш ніж торкатися набору правил.

Спочатку встановіть новий вузький дозвіл і підтвердьте, що він завантажився, бо прохання до клієнта використати адресу, яку міжмережевий екран досі блокує, дає збій, що виглядає як відмова сервера. Не чіпайте не пов'язані правила під час зміни.

Спостерігайте за переходом клієнта через підтримуваний шлях перепідключення і підтвердьте, яку віддалену адресу він обрав. Оновлення лише DNS не переміщує наявний сокет, а параметр збереження кінцевої точки може утримувати клієнт на старому пірі ще довго після зміни запису.

Наостанок навмисно виведіть застарілий дозвіл з експлуатації, допускаючи схвалене вікно перекриття, поки старий сеанс ще активний. Занадто раннє видалення старого запису дає короткий простій; залишення його назавжди залишає дозвіл, який ніхто не може пояснити.

Навмисно виведіть старий дозвіл з експлуатації

Видалення — це місце, де зосереджена більша частина ризику, бо старе правило зараз єдине, що працює. Якщо встановлення кандидата не вдалося, не продовжуйте і не видаляйте запис, який ще несе трафік. Якщо сам вивід з експлуатації не вдався, запишіть застарілий дозвіл як застарілий, замість того щоб оголосити політику актуальною.

Повторіть весь огляд, коли аплінк змінюється з Ethernet на Wi-Fi, коли змінюється транспорт або коли служба обертається на кількох адресах. Правило, прив'язане до інтерфейсу, має перестати збігатися після зміни мережі, і ця поведінка правильна, хоча й виглядає як регресія.

Потім доведіть контракт нешкідливим трафіком. Схвалена кінцева точка має бути доступною під час налаштування, захищений застосунок має працювати після підключення, а не пов'язаний прямий трафік має залишатися заблокованим під час простою. Уключіть обидві родини адрес і одну навмисно невдалу спробу оновлення, бо з'єднання, яке вдається після однієї правки закріпленої адреси, не доводить жодного з цих випадків.