Die VPN-adres op die witlys en steeds geblokkeer? Spoor dit na

Om die adres wat ’n VPN-app wys op die witlys te plaas, maak selde ’n geblokkeerde poort reg, en die pakket verduidelik waarom. Die vuurmuur ignoreer nie jou reël nie; dit evalueer ’n bronadres wat niks op die kliëntskerm wys nie. Totdat die bestemming daardie waarde rapporteer, is elke reëlwysiging ’n raaiskoot.

Begin by die versoek wat by die diens uitkom. Die tonneladres, die uitgangadres en enige vertaling tussenin bly hipoteses totdat die bestemming een daarvan bevestig.

Die adres in die app is nie die een wat aankom nie

’n VPN-verbinding dra ten minste vier adresse wat die moeite werd is om afsonderlik te benoem: die bediener-eindpunt, die binneste tonneladres wat aan jou kliënt toegeken is, die plaaslike Wi-Fi- of Ethernet-adres, en die openbare adres wat ’n webwerf sien nadat verkeer die verskaffer verlaat. ’n Kliëntvenster wys dalk net die tweede een. Noem al vier voordat jy ’n reël benoem. Met gesplete tonneling kan versoeke na ’n openbare bestemming die tonnel heeltemal oorslaan, so die mislukte sessie is nie die een wat die gebruiker dink hulle begin het nie.

Bepaal watter van dié vier die reël bedoel is om toe te laat, en verifieer dit dan van die ander kant af. As die vereiste werklik ’n kantooradres is, is die voorwaarde die roete plus daardie werf se uitgangsreëling, en ’n verbinding met die etiket Office VPN verskaf nie een van die twee op sigself nie.

Volg een versoek tot by sy filtreergrens

Bevestig die bestemmingsadres en -poort wat die kliënt gebruik, en kontroleer dan dat hierdie bestemming die pad volg wat jy aanneem. ’n Gepubliseerde houerpoort, ’n omgekeerde instaanbediener of ’n poortaanstuur kan die besluit na ’n gasheer skuif wat jy nooit gewysig het nie. Elkeen van daardie spronge kan sy eie beleid hê. Om eers die pad vas te stel, keer dat jy ’n reël regmaak wat geen pakket ooit bereik nie.

Op ’n gemagtigde Linux-gasheer, lees die lewende reëls in volgorde voordat jy hulle verander. Aangestuurde en houerdienste spring dikwels in hul eie ketting in, so ondersoek die sprongteiken sowel as die finale uitspraak.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Haal die ooreenstemmende reëlnommer in die kaartjie aan. Sonder dit kan die volgende leser nie sien watter wysiging die uitkoms verander het nie. ’n Reëlnommer sonder ’n tydstempel is steeds dubbelsinnig.

Verifieer die pad met een beperkte vaslegging

Een onskadelike versoek en een nou vaslegging besleg die vraag wat aanhoudend terugkom. Filtreer op die bestemmingspoort en die gasheer wat ondersoek word, beperk die pakkettelling, en stop die vaslegging sodra die versoek voltooi is.

tcpdump -ni any 'tcp dst port 9443' -c 20

Vergelyk drie waardes langs mekaar: die bron in die vaslegging, die bron wat die ooreenstemmende reël noem, en die verwerping wat die toepassing gelog het. Dié kan almal verskil, en net die eerste een verduidelik ’n val wat deur ’n IP-reël besluit is. ’n Aangestuurde HTTP-opskrif behoort aan die instaanbedienerlaag, so ’n log wat daardie opskrif aanhaal, beskryf nie die bron wat die vuurmuur geëvalueer het nie.

Lees die kettingorde, nie net die reël nie

Die iptables-verwysing dokumenteer geordende deurgang, en daarom red ’n toelating onder ’n ooreenstemmende terminale verwerping nooit die pakket nie. ’n Verbinding wat vroeër aanvaar is, kan ook anders reageer as ’n nuwe een, so ’n verouderde sukses sê niks oor die nuwe reël nie. Vind die verwerping of val bo jou toelating voordat jy aanneem die toelating is verkeerd. Telling per reël vertel jou ook watter reël die pakket gesien het.

Om ’n reël te skrap om te sien wat gebeur, is ’n verandering, nie ’n waarneming nie. Lees die tellers, noteer die reëlnommer, en hou die oorspronklike beleid in die veranderingsrekord. As ’n toets onvermydelik is, voer dit op ’n kopie van die ketting uit.

Verander die reël wat sy eienaar beheer

Werk net die beoogde bron- en diensbeleid by, deur wie dit ook al besit. ’n Gedeelde vertaalde uitgang kan vir baie gebruikers gelyk staan, so om daardie adres toe te laat verifieer niemand nie, en die toepassingsregte daarvan bly waar hulle is.

Wanneer die adres aanhou beweeg, is die duursame antwoord ’n stabiele uitgang of ’n geoutentiseerde kanaal, nie ’n langer uitsonderingslys nie. Teken die waargenome bron, die bestemmingspoort en die reëlnommer aan.