Endpoint manzili o’zgarganda VPN uchun UFW istisnosi

Mijoz qayta ulanmoqchi bo’lmoqda va mashinadan hech narsa chiqmayapti, garchi o’sha profil o’tgan haftada ishlagan bo’lsa ham. Endpoint host nomi endi boshqa manzilga yechilmoqda va chiquvchi istisno hali ham eskisini nomlaydi. O’sha bitta eskirgan ruxsat ishlayotgan kill switchni to’liq uzilishga aylantirish uchun yetarli va u ish stoli ko’rsatadigan har qanday holat indikatorida ko’rinmaydi. Tuzatish kichik ish jarayoni, bir qatorli tahrir emas.

Tunnel qayta ulanadi, keyin hech narsa chiqmaydi

Maqsad manzilini nomlaydigan chiquvchi qoida — bu oniy surat, DNS javoblari esa unday emas. Provayder manzilni aylantirganda, mijoz yangi peerga yuboradigan paket hech narsaga mos kelmaydi va standart taqiq tomonidan tashlab yuboriladi. Shundan so’ng mijoz vaqt tugaganini xabar qiladi, bu esa server muammosiga o’xshaydi, firewall muammosiga emas.

Ommaviy qidiruv qaytaradigan manzilni qotirib qo’yish bugun ishlashini ta’minlaydi va ertani buzilgan holda qoldiradi. Bu bir martalik tahrir, texnik xizmat siyosati emas.

Haqiqatan nazarda tutgan istisnoni tavsiflang

Qoida talab qiladigan to’rtta qiymatni yozishdan boshlang: tasdiqlangan endpoint nomi yoki manzillar to’plami, transport, maqsad porti va paket chiqadigan interfeys. To’rttasi ham ruxsatning bir qismi va ularning har biri noto’g’ri bo’lishi mumkin, qoida esa hali ham ishonchli ko’rinadi. Uchtasida to’g’ri bo’lgan qoida to’rttasida ham noto’g’ri bo’lgan qoida kabi muvaffaqiyatsizlikka uchraydi. Ularni buyruqni yozishdan oldin yozib qo’ying, chunki qoida ortidagi tavsif qanchalik yaxshi bo’lsa, shunchalik yaxshi.

Quyidagi buyruq simli uplinkdagi bitta IPv4 UDP endpoint uchun shaklni ko’rsatadi. Ikkala qiymatni ham joylashtirishga qarshi tekshirgan qiymatlaringiz bilan almashtiring.

sudo ufw allow out on enp3s0 proto udp to 192.0.2.44 port 1194
sudo ufw status verbose

Bu ruxsat xuddi shu portda ixtiyoriy maqsadlarga izin bermaydi, tinglovchi yaratmaydi va TCPni qamrab olmaydi. UFW qo’llanma sahifasi manzil, interfeys va protokol qoidani qanday toraytirishini tavsiflaydi va aynan shu toraytirish butun masala.

Uni bitta ish jarayoni sifatida yangilang

Istisnoga egasi va o’tishi bo’lgan resurs sifatida qarang, kimdir bajarishni eslaydigan buyruq sifatida emas. Avval joylashtirishning o’z yechish va endpoint inventaridan nomzod oling va tunnel paydo bo’lishidan oldin bu nom qanday yechilishini ataylab belgilang. Keyin qoidalar to’plamiga tegishdan oldin nomzodni mo’ljallangan protokol, port va manzil oilasiga qarshi tekshiring.

Avval yangi tor ruxsatni o’rnating va u yuklanganini tasdiqlang, chunki mijozdan firewall hali bloklayotgan manzilni ishlatishni so’rash server nosozligiga o’xshash xatoga olib keladi. O’zgartirish paytida bog’liq bo’lmagan qoidalarni tegmasdan qoldiring.

Mijozning qo’llab-quvvatlanadigan qayta ulanish yo’li orqali o’tishini kuzating va u qaysi uzoq manzilni tanlaganini tasdiqlang. Faqat DNSni yangilash mavjud socketni siljitmaydi va endpoint barqarorligi sozlamasi yozuv o’zgargandan keyin ham mijozni eski peerda uzoq vaqt ushlab turishi mumkin.

Nihoyat eskirgan ruxsatni ataylab bekor qiling, eski sessiya hali faol bo’lganda tasdiqlangan qoplanish oynasiga ruxsat bering. Eski yozuvni juda erta olib tashlash qisqa uzilishga olib keladi; uni abadiy qoldirish hech kim tushuntira olmaydigan ruxsatni qoldiradi.

Eski ruxsatni ataylab bekor qiling

Olib tashlash — xavfning katta qismi shu yerda, chunki eski qoida hozir ishlayotgan yagona narsa. Agar nomzodni o’rnatish muvaffaqiyatsiz bo’lsa, davom etmang va hali ham trafik tashayotgan yozuvni o’chirmang. Agar olib tashlashning o’zi muvaffaqiyatsiz bo’lsa, siyosatni joriy deb e’lon qilish o’rniga eskirgan ruxsatni eskirgan deb qayd eting.

Uplink Ethernetdan Wi-Fi ga o’tganda, transport o’zgarganda yoki xizmat bir nechta manzillar bo’ylab aylanganda butun ko’rib chiqishni takrorlang. Interfeysga xos qoida tarmoq o’zgarganidan keyin mos kelishni to’xtatishi kerak va bu xatti-harakat regressiyaga o’xshasa ham to’g’ri.

Keyin shartnomani zararsiz trafik bilan isbotlang. Tasdiqlangan endpoint sozlash paytida erishiladigan bo’lishi kerak, himoyalangan ilova ulangandan keyin ishlashi kerak va bog’liq bo’lmagan to’g’ridan-to’g’ri trafik uzilish paytida bloklangan holda qolishi kerak. Ikkala manzil oilasini va ataylab muvaffaqiyatsiz bo’lgan bitta yangilash urinishini kiriting, chunki qotirilgan manzilning bitta tahriridan keyin muvaffaqiyatli bo’lgan ulanish bu holatlarning hech birini isbotlamaydi.