Ṣé ẹ̀rọ ìdáná UFW ń dí VPN rẹ? Gba alábàápàdé láàyè

O tẹ̀lé àkójọ àyẹ̀wò: kọ̀ ìjáde, gba ojú-ọ̀nà lààyè, tan ufw. Lẹ́yìn náà alátìlẹ́yìn dúró ní ìfọwọ́sowọ́pọ̀ kò sì sopọ̀ rárá, tàbí ó sopọ̀ kò sì sí ojú-ìwé tí ó gbé kalẹ̀. Àwọn ìkùnà méjèèjì wá láti inú àlàfo kan náà. Òfin tí ó jẹ́ kí ojú-ọ̀nà wà kò sí, nítorí ojú-ọ̀nà kì í ṣe ojú-ìpèsè tí àwọn pákítì rẹ ń gbà jáde.

Kí ni ìdí tí ìyọ̀ǹda lórí tun0 kò fi bá ohunkóhun mu níbẹ̀rẹ̀

Alátìlẹ́yìn ni ó ń dá tun0 lẹ́yìn tí ìpàdé kan wà. Àwọn dátágírámù tí ó ń kọ́ ìpàdé yẹn jẹ́ pákítì UDP lasan tí a fi ránṣẹ́ sí olùpèsè ní ibùdókọ̀ 1194, wọ́n sì ń jáde gba wlan0 tàbí eth0 pẹ̀lú àdírẹ́sì orísun ti ara. allow out on tun0 ń bá ìrìnàjò tí ojú-ìpèsè ìjáde rẹ̀ jẹ́ tun0 mu nìkan, nítorí náà ní àkókò ìfọwọ́sowọ́pọ̀ kò bá ohunkóhun mu.

Fi default deny outgoing sórí rẹ̀, a ó sì ju àwọn pákítì ìta nù kí ojú-ìpèsè tó farahàn. Alátìlẹ́yìn gbìyànjú lẹ́ẹ̀kan sí i, àkókò ń parí, ó sì ń jábọ̀ ìkùnà TLS tàbí ìfọwọ́sowọ́pọ̀, èyí tí ń rán àwọn ènìyàn lọ wá kiri nínú àwọn ẹ̀rí àti MTU nígbà tí ògiri-iná ń jẹ ìsopọ̀ ní ìdákẹ́jẹ́ẹ́. Òfin tí ó yẹ kí ó dá ìrìnàjò rẹ dúró ni ó ń dí ìrìnàjò yẹn láti dúró.

Àtúnṣe ìfàsẹ́yìn ń jẹ́ kí ìjáde omi di ayérayé. sudo ufw allow out on wlan0, tàbí yí ìpilẹ̀ padà sí ìyọ̀ǹda, ń gbé ojú-ọ̀nà sókè ó sì fi ẹ̀rọ náà sílẹ̀ láìsí ẹ̀rọ ìdáná: nígbà tí ojú-ọ̀nà bá ṣubú lẹ́ẹ̀kan sí i, ohun gbogbo yóò tẹ̀síwájú gba adáptà ti ara. Mo pàdánù ọ̀sán kan pátápátá lórí àwọn àtúnṣe méjì yẹn kí mo tó mọ pákítì tí mò ń yẹ̀.

Ohun tí àwọn àkójọ pákítì méjì nílò

Ìrìnàjò rẹ ń kọjá ògiri-iná lẹ́ẹ̀mejì, ní àwọn ìrísí méjì. Pákítì inú ń lọ láti àdírẹ́sì ojú-ọ̀nà jáde gba tun0. Pákítì ìta ń lọ láti àdírẹ́sì ti ara sí alábàápàdé, ìyẹn sì ni ohun kan ṣoṣo tí a rí lórí okùn. Òfin kan fún ìrísí kọ̀ọ̀kan:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Pààrọ̀ àdírẹ́sì àti ibùdókọ̀ pẹ̀lú àwọn tí ó wà nínú profáìlì rẹ. Àwọn alábàápàdé WireGuard sábà ń dáhùn ní 51820/udp; àwọn profáìlì OpenVPN tí ó ń gba TCP 443 nílò ibùdókọ̀ yẹn ní ààyò. Àwọn àlàyé yàtọ̀, ìrísí kò yàtọ̀: àwọn òfin méjèèjì kúrò ní ìbú, àti papọ̀ wọ́n ń ṣàlàyé àwọn ibi kan ṣoṣo tí ẹ̀rọ lè dé nígbà tí ojú-ọ̀nà wà ní ìsàlẹ̀.

Ìtò ni ìtàn àròsọ kejì. Pẹ̀lú iptables àìṣeé, o ka ẹ̀wọ̀n láti orí sí ìsàlẹ̀ o sì ń ronú òfin wo ni yóò borí. ufw kì í ṣe ìbora tinrin yí àkójọ tí o tẹ̀; ó ń ṣàkójọ àwọn òfin rẹ sínú àwọn ẹ̀wọ̀n tirẹ̀ ó sì ń yan àwọn ibi ìfiwọlé. ufw status ó ń tẹ̀ wọ́n jáde ní ìtò ufw, kì í ṣe tìrẹ. Nígbà tí òfin bá dàbí ẹni tí a kò kà sí, fi wé ufw show added pẹ̀lú àkójọ tí a kójọ láti iptables -S | grep ufw kí o tó kọ ohunkóhun lẹ́ẹ̀kan sí i.

Ìyọ̀ǹda ní láti dúró ní fífẹ̀ àdírẹ́sì kan

Òfin alábàápàdé tọ́ nìkan nígbà tí ó bá dárúkọ àdírẹ́sì tí alátìlẹ́yìn ń pè. Àwọn olùpèsè ń yí àwọn ibi ìparí, profáìlì tí ó ń yanjú orúkọ agbàlejò yóò tẹ̀lé ìyípadà DNS sí àdírẹ́sì tuntun nígbà tí òfin ṣì ń tọ́ka sí èyí àtijọ́. Nígbà tí ojú-ọ̀nà tí ó ṣiṣẹ́ fún àwọn oṣù bá kọ̀ láti gòkè, fi àdírẹ́sì inú òfin wé èyí tí alátìlẹ́yìn ń wá kí o tó gbòòrò ohunkóhun.

Gbígbòòrò sí gbogbo ẹ̀ka-ìsopọ̀, tàbí sí gbogbo ibi ní ibùdókọ̀ 1194, ń yí ìlànà padà sí ògiri-iná tí ó ní ihò. Ìyọ̀ǹda ni ẹ̀rọ ìdáná; nígbà tí ó bá gbòòrò, kò sí ohun tí ó kù láti dáná. Pa á mọ́ sí àdírẹ́sì kan kí o sì fi àkọsílẹ̀ sílẹ̀ tí ó dárúkọ profáìlì àti olùpèsè tí ó jẹ́ tirẹ̀, nítorí ní oṣù mẹ́fà àdírẹ́sì yóò dàbí ẹni tí a yàn láìsí ìdí.

Yíyanjú orúkọ yẹ sí ìlà tirẹ̀. Ìwádìí ń ṣẹlẹ̀ kí ojú-ọ̀nà tó wà, gba ojú-ìpèsè ti ara, nítorí náà ìlànà kíkọni tí ó kọ̀ ìjáde lè fi alátìlẹ́yìn sílẹ̀ láìlè rí sáfà tirẹ̀. Gba ibùdókọ̀ 53 láàyè sí àdírẹ́sì olùyanjú rẹ, tàbí yanjú lẹ́ẹ̀kan kí o sì fi àdírẹ́sì náà mọ́ profáìlì. Gbígba DNS láàyè lórí gbogbo ojú-ìpèsè jẹ́ ìpinnu, kì í ṣe ìpilẹ̀.

Kọ́ ìlànà kí ojú-ọ̀nà tó nílò

ufw enable ń lo gbogbo ìlànà lẹ́ẹ̀kan ó sì ń gbé àwọn ẹ̀wọ̀n rẹ̀ padà, yíyí ìlànà ìpilẹ̀ lórí ògiri-iná tí ń ṣiṣẹ́ pẹ̀lú ń gbé wọn padà. ìwé ufw kìlọ̀ pé èyí lè ju àwọn ìsopọ̀ tí ó wà bí SSH nù. Nítorí náà àwọn àṣẹ ń lọ ní ìtò yìí, pẹ̀lú òfin SSH kí ó tó tan, àti ìpàdé kọ́nsólì tí ó ṣí.

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset a fi mọ̀ọ́mọ̀ sílẹ̀ kúrò nínú blọ́kì yẹn. Ó ń pa gbogbo òfin rẹ́ ó sì ń sọ ògiri-iná di aláìṣiṣẹ́, àti lórí agbàlejò ọ̀nà jíjìnà, ìtan tí ó tẹ̀lé ni ó ń ju ìpàdé rẹ nù. Bí o bá ṣe àtúntò, fi òfin SSH kún un kí o sì fìdí ìpadà ọ̀nà kejì mú láti inú kọ́nsólì kí o tó tẹ̀síwájú.

Ìtò kì í ṣe ti ojú. Àwọn òfin tí a fi kún un nígbà tí ufw ń ṣiṣẹ́ kì í fọ̀ ohunkóhun, ṣùgbọ́n ní àkókò tí o yí ìlànà ìpilẹ̀, a ń gbé àwọn ẹ̀wọ̀n padà, ìpàdé tí ìlànà àtijọ́ gbà sì ń lọ pẹ̀lú wọn. Ṣe àwọn ìpilẹ̀, àwọn ìyọ̀ǹda àti ìtanna ní ìgbà kan, nígbà tí o ṣì ní ọ̀nà àbáwọlé tí kò sinmi lórí ẹ̀rọ.

Dán ìpò tí a dí náà wò, kí o sì pa ìpadà mọ́

Ẹ̀rọ ìdáná tí a kò dán wò jẹ́ àfojúsùn. Mọ̀ọ́mọ̀ já alátìlẹ́yìn kúrò kí o sì gbìyànjú láti gbé ojú-ìwé kalẹ̀: ó gbọ́dọ̀ kùnà. Tún sopọ̀, ó gbọ́dọ̀ bọ̀ sípò láìfi ọwọ́ kàn òfin kankan. sudo ufw status verbose ń fìdí àwọn ìpilẹ̀ àti ìpò ìkọsílẹ̀ mú, ufw status numbered sì ń fi hàn òfin ìdánwò wo ni a ó pa nígbà tí ó bá gbé jù èròǹgbà rẹ̀.

Pa àkọsílẹ̀ ìpadà mọ́ lẹ́gbẹ̀ẹ́ èyí tí ó ń lọ síwájú. Ẹ̀rọ tí ó kọ̀ ìjáde tí ojú-ọ̀nà sì ti kú kò lè gba àtúnṣe tirẹ̀, nítorí náà ìpadà gbọ́dọ̀ wà lórí díìsìkì kí ó sì ṣeé kà láti kọ́nsólì:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Ṣe é nígbà tí ojú-ọ̀nà ti wà ní ìsàlẹ̀ tí wọ́n sì nílò láti yọ àwọn òfin kúrò, kì í ṣe gẹ́gẹ́ bí ìgbésẹ̀ ìgbà gbogbo. Kí o tó ti ẹ̀rọ ìkọ̀wé pa, ohun mẹ́rin gbọ́dọ̀ tọ̀: òfin alábàápàdé dárúkọ àdírẹ́sì kan gbáà, DNS ní ìyọ̀ǹda tí a dárúkọ, ìtanna wá lẹ́yìn àwọn ìyọ̀ǹda, àti fífa ojú-ọ̀nà ń pa ìrìnàjò lasan kò sì pa alátìlẹ́yìn mọ́ títí láé.