ps/gemlog
1
0
Fork 0
mirror of https://codeberg.org/postscriptum/gemlog.git synced 2026-02-19 06:22:41 +00:00
Code Issues Projects Releases Packages Wiki Activity Actions

minor corrections

Browse source
This commit is contained in:
postscriptum 2026-01-21 02:24:15 +02:00
parent 371d4657d3
commit e98a5093a1
1 changed files with 8 additions and 9 deletions
Download patch file Download diff file Expand all files Collapse all files

17
public/uk/block-direct-internet-connections-but-openvpn-tun-with-ufw.gmi
View file

@ -14,23 +14,23 @@
* не правильно налаштований системний сервіс та відсутність авто-старту на ребуті або якийсь збій в налаштуваннях таблиці маршрутизації через кастомні налаштування системи * не правильно налаштований системний сервіс та відсутність авто-старту на ребуті або якийсь збій в налаштуваннях таблиці маршрутизації через кастомні налаштування системи
* якийсь глюк в network-manager на обнові * якийсь глюк в network-manager на обнові
* збій в локальний мережі та обрив з'єднання тунелю * збій в локальний мережі та обрив з'єднання з тунелем
Іншими словами, може бути що завгодно. Спеціалізований софт від провайдерів VPN, як правило, дбає про запобігання витокам; про це й дбає системний сервіс клієнта OpenVPN, налаштовуючи пріоритет таблиці маршрутизації (щонайменше в Linux) але я нікому не вірю, навіть собі. Іншими словами, може бути що завгодно. Спеціалізований софт від провайдерів VPN, як правило, дбає про запобігання витокам; про це й дбає системний сервіс клієнта OpenVPN, налаштовуючи пріоритет таблиці маршрутизації (щонайменше в Linux) але я нікому не вірю, навіть собі.
## Чому ufw ## Чому ufw
Цей фронтенд (iptables) мені подобається тим, що він дозволяє встановлювати перманентні правила, виключаючи помилку синтаксису. А також тим, що за ці роки я просто до нього звик і розумію його поведінку. Ось, навіть був днями таки поставив на Fedora: Цей фронтенд (iptables) мені подобається тим, що він дозволяє встановлювати перманентні правила, виключаючи помилку синтаксису з блокуванням самого себе десь на сервері з вимкненим локальним терміналом. А також тим, що за ці роки я просто до нього звик і розумію його поведінку. Ось, навіть був днями таки поставив на Fedora:
=> downgrade-to-iptables-ufw-from-firewalld-on-fedora-43.gmi Перехід на iptables/ufw з firewalld (Fedora 43) => downgrade-to-iptables-ufw-from-firewalld-on-fedora-43.gmi Перехід на iptables/ufw з firewalld (Fedora 43)
Звісно, делегувати фільтрацію трафіку на останній рубіж фаєрволу - таке собі, але в мене тут немає мети сильно заморочуватись, хочу лише зменшити об'єм витікаючих з під мене слідів у цьому болоті. Кому цікава тема більш "глибокої" ізоляції, рекомендую до читання матеріал: Звісно, делегувати фільтрацію трафіку на останній рубіж фаєрволу - таке собі, але в мене тут немає мети сильно заморочуватись, хочу лише зменшити об'єм витікаючих з під мене слідів у це болото, в яке перетворився колись далекий від зомбо-ТВ острівок свободи. Кому цікава тема більш "глибокої" само-ізоляції, рекомендую до читання матеріал:
=> linux-isolation-from-direct-internet-connections-based-on-qemu-virtual-machine-manager-with-vsock.gmi Ізоляція Linux від прямих Інтернет з'єднань на базі QEMU / Virtual Machine Manager з VSOCK => linux-isolation-from-direct-internet-connections-based-on-qemu-virtual-machine-manager-with-vsock.gmi Ізоляція Linux від прямих Інтернет з'єднань на базі QEMU / Virtual Machine Manager з VSOCK
### До справи ## До справи
Не так багато роботи, як передісторії :) Не так багато роботи, як передісторії :)
Встановлюємо, якщо якимось дивом ще сидите без фаєрволу: Встановлюємо ufw зі стандартним бекендом iptables (в залежностях) якщо якимось дивом ще сидите без фаєрволу:
``` bash ``` bash
apt install ufw apt install ufw
@ -53,7 +53,7 @@ Default: deny (incoming), deny (outgoing), disabled (routed)
``` ```
* тут я ще не впевнений, стосовно "disabled (routed)" - можливо це слабке місце, але поки так * тут я ще не впевнений, стосовно "disabled (routed)" - можливо це слабке місце, але поки так
Ну, і на системах з systemd глянемо, чи сервіс дійсно працює: Ну, і на системах з systemd глянемо, чи сервіс дійсно працює (active) і стартує з системою (enabled):
``` bash ``` bash
systemctl status ufw systemctl status ufw
@ -65,7 +65,7 @@ systemctl status ufw
ufw allow out on tun0 ufw allow out on tun0
``` ```
Інтерфейс "tun0" може відрізнятись, якщо у вас динамічна конфігурація. Подивитись як він зветься та вказати свій, можна в файлі налаштувань OpenVPN (в залежності від софту) або при наявності такого з'єднання - переглянути активні: Інтерфейс "tun0" може відрізнятись, якщо у вас динамічна конфігурація. Подивитись як він зветься та вказати свій, можна у файлі налаштувань OpenVPN (в залежності від софту) або при наявності такого з'єднання - переглянути активні:
``` bash ``` bash
ifconfig ifconfig
@ -82,9 +82,8 @@ ifconfig
Коротке правило ufw виглядатиме наступним чином: Коротке правило ufw виглядатиме наступним чином:
``` bash ``` bash
ufw allow out to 95.173.205.159 port 5060,51820,80,4569,1194 proto udp comment 'ProtonVPN [NO]' ufw allow out to 95.173.205.159 port 5060,51820,80,4569,1194 proto udp
``` ```
* тут я лишаю опціональний комент, щоб не забути що воно таке, хоча 1194 є типовою підказкою
По аналогії додаємо стільки серверів, скільки потрібно і не забуваємо перевірити статус: По аналогії додаємо стільки серверів, скільки потрібно і не забуваємо перевірити статус: