الجدار الناري السحابي مقابل الجدار الناري للمضيف لخادم VPN

اسمح لمنفذ VPN في سياسة السحابة، ومع ذلك قد تفشل المصافحة على النسخة: فالمضيف يشغّل مرشّحه الخاص وربط المستمع الخاص به، وكلاهما قد يُسقط ما وافقت عليه السحابة. ويحدث العكس أيضًا، عندما تسمح قاعدة على المضيف بالمنفذ فتُسقطه سياسة أعلى منها أولًا. مالكَان، ومجموعتا قواعد، ومسار حزم واحد. فتّشه بالترتيب بدلًا من التخمين عند الطبقة الأكثر إثارةً للشك.

ابدأ من الحافة وتوجّه إلى الداخل

الترتيب ثابت: نقطة النهاية العامة، واجهة المورد، سياسة السحابة المرتبطة، عنوان المضيف، مستمع العملية، قواعد الإدخال المحلية. كل مرحلة إما تمرّر الحزمة أو تُنهي التحقيق، ولهذا يضيّع من يبدأ عند المضيف أكبر وقت.

حركة العميل المُمرَّرة مرحلة منفصلة، تُفحص بعد فك تغليف النفق. طبقة السحابة ترى النفق الخارجي فقط، فقد توافق على اتصال ولا علاقة لها البتة بطلب خدمة داخلية. والنفق الذي يتصل لكنه لا يصل إلى مضيف داخلي يشير عادةً إلى التمرير، لا إلى منفذ مغلق.

اقرأ سياسة السحابة قبل أن تلمس المضيف

تأكد من قاعدة الإدخال الخاصة بمنفذ VPN، وبروتوكولها، ونطاق المصدر المطابق لعميل الاختبار لديك. وافحص أيضًا قائمة التحكم بالوصول الخاصة بالشبكة الفرعية: فهي مرشّح ثانٍ له قواعده وإعداداته الافتراضية. يجب أن يسمح الاثنان بالتدفق قبل أن تصل الحزمة إلى النسخة. أن يُسمح في أحدهما ويُرفض في الآخر هو الشكل المعتاد لهذا العطل.

ضيّق النطاق حتى يصبح ذا معنى. فتح منفذ VPN للإنترنت كله سهل الإثبات وصعب الدفاع عنه، أما قاعدة مثبّتة على عنوان واحد فتنكسر عندما ينتقل عميل الاختبار إلى شبكة أخرى. سجّل معرّف القاعدة ومالك السياسة، حتى يكون التغيير التالي قابلًا للتتبع إلى شخص.

تأكد من المستمع، ثم من سلسلة الإدخال

على النسخة، تحقق من أن عملية VPN مرتبطة بالعنوان والمنفذ اللذين تتوقعهما، مثلًا بواسطة ss -lntp 'sport = :1194'. فالخدمة المرتبطة بـ 127.0.0.1 فقط تقبل العملاء المحليين ولا تقبل شيئًا عبر النفق، وهو ما يبدو من الخارج تمامًا كمنفذ مُرشَّح.

ثم اقرأ القواعد المحلية بالصياغة التي ستستخدمها لتغييرها، مثل iptables -S INPUT أو nft list chain inet filter input. القاعدة المكتوبة في ملف ولم تُحمَّل قط، أو الإسقاط الافتراضي بلا سماح مطابق، تُسقط الحزم بصمت. وللبوابة المُمرِّرة، افحص أيضًا إعدادات التمرير والمسار العكسي. فهي تحدد ما يحدث للحزم الموجَّهة عبر النسخة لا المرسلة إليها.

حالة في طبقة، ولا حالة في التالية

مجموعات الأمان تتذكر التدفقات التي سمحت بها وتُعيد الردود إلى الداخل. أما قوائم التحكم بالوصول للشبكات الفرعية وكثير من جدران المضيف فلا تحتفظ بهذه الحالة، لذا فقاعدة تغطي اتجاه الصادر وحده تمرّر الطلب وتُسقط الرد. لا تنقل أبدًا افتراضًا عن حركة العودة بين طبقتين دون قراءة قاعدة الطبقة الثانية (second layer's rule).

تحدد العدادات الأمر أسرع من قراءة كل قاعدة في الحساب. فالعداد الذي يرتفع يعني أن الحزمة وصلت وأُسقطت هناك، أما العداد المتجمد على صفر فيعني أنها لم تصل إلى هناك قط؛ وiptables -vnL INPUT وnft list ruleset تُظهران هذه الأعداد عندما حُمّلت القواعد مع عدادات.

اختبر بجلسة جديدة، لا بجلسة قائمة

اترك شبكة المصدر وملف الاختبار كما هما أثناء مقارنة العروض، وافتح اتصالًا جديدًا بعد كل تغيير. الوصول إلى وحدة التحكم على 443 لا يقول شيئًا عن كون خدمة VPN مرتبطة بـ 1194، فاختبر المنفذ الذي تحتاجه. الجلسة القائمة هي أسوأ شاهد هنا. إنها تستمر في العمل بينما يُرفض كل تسجيل دخول جديد.

قبل تحرير سياسة بعيدة، أمّن طريق عودة لا يعتمد على المسار الذي تغيّره. ثم افتح جلسة إدارة ثانية بجانب اختبار VPN: فجلسة أُنشئت سابقًا قد تعيش أطول من القاعدة التي تحجب الجلسات الجديدة. سجّل مالكَي السياستين حتى لا يُعيد أي إعادة بناء نصف المسار؛ وإذا اتفقت الطبقتان وفشل النفق مع ذلك، فالتقط الحركة عند واجهة المضيف وتحقق من العنوان والمنفذ اللذين يستخدمهما العميل فعلًا.