هل جدار الحماية يعيق VPN؟ فحص خطوة بخطوة

انتهاء مهلة واحدة لـ VPN يثبت أن ردًا صالحًا للاستخدام لم يصل، ولا يثبت شيئًا عن السبب. قد يذكر الملف التعريفي منفذًا خاطئًا، أو يكون الخادم متوقفًا، أو يصل الطلب دون مسار عودة عامل. كل واحد من ذلك يترك أثرًا مختلفًا، والأثر هو ما يخبرك أي قاعدة يجب أن تلمس. اعمل المراحل الأربع أدناه بالترتيب. توقف بمجرد أن تشرح إحداها العَرَض.

الخطوة 1: تأكيد الخادم والنقل

اقرأ اسم الخادم والنقل والمنفذ من الملف التعريفي الحالي للمشغّل بدلًا من تعديل محلي. لا يمكن لمنفذ غُيّر على حاسوبك أن ينشئ مستمعًا على خادم عام، وهذا التباين يُنتج مهلة مطابقة للحجب. إذا قدّم الملف التعريفي نقلًا بديلًا مدعومًا، فسجّله كبديل احتياطي لا كإصلاح. حوّل الاسم إلى عنوان وقارن النتيجة بالعنوان الذي نشره المشغّل.

سجل DNS قديم يرسل العميل إلى مضيف لم يجب قط. هذا عطل آخر يحاكي التصفية، ويكلّف استعلامًا واحدًا لاستبعاده.

اكتب كلتا القيمتين في التذكرة. كل مقارنة لاحقة تستخدمهما، وتذكرة بدونهما تعيد التحقيق من البداية.

الخطوة 2: إثبات المسار بمقارنة واحدة مضبوطة

أبقِ الجهاز والملف التعريفي دون تغيير وجرّب شبكة وصول موثوقة أخرى. إذا قام النفق هناك، فالمسار الأصلي أو سياسته هو الفرق. وإذا عمل جهاز ثانٍ معتمد على الشبكة الأصلية، فالجهاز الأول هو الفرق. إحدى هاتين المقارنتين حاسمة دائمًا تقريبًا.

أكمل أي تسجيل دخول شبكي مشروع أولًا، لأن بوابة الأسر تبدو كحجب حتى تُنجز.

اختبر المنفذ الذي تستخدمه فعليًا، واعتبر نتيجة TCP معلومات عن TCP فقط.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

مصافحة TCP ناجحة على المنفذ 443 تعني أن مستمعًا أجاب هناك. لا تقول شيئًا عن مستمع UDP على 51820، ولا عن اكتمال التفاوض.

الخطوة 3: قراءة أحداث الأمان في لحظة الفشل

أحداث جدار الحماية أقوى دليل متاح، وهي تحمل تحفظًا يستحق الذكر أولًا. التسجيل معطّل في كثير من ملفات التعريف الافتراضية، لذا تحقق مما إذا كان ملف التعريف المعني يسجّل الإسقاطات قبل أن تقرأ سجلًا فارغًا كدليل براءة. وعندما يكون التسجيل مفعّلًا، يذكر الحدث القاعدة والاتجاه والعناوين، وهو بالضبط ما يحتاجه تغيير القاعدة. قواعد التطبيقات وقواعد المنافذ كائنات منفصلة، ويمكن للسياسة المُدارة أن تتجاوز إعدادًا محليًا. تأكد من أي عميل وأي خدمة تغطيها القاعدة فعليًا.

اجمع حالة الملف التعريفي والأحداث الأخيرة من الجهاز الذي فشل، لا من مضيف مجاور.

اقرأ وقت الحدث مقابل وقت محاولة اختبارك، لأن اسم قاعدة مطابقًا بطابع زمني مختلف مصادفة.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

على خادم تديره، اسأل هل وصل الطلب إلى المستمع أصلًا. حزمة تصل دون رد مشكلة إعادة توجيه أو مسار عودة. وطلب لا يظهر أبدًا مشكلة تصفية أو عنونة.

الخطوة 4: اختبار إعادة التوجيه بعد قيام النفق

يمكن لجدار الحماية أن يسمح بالجلسة ويظل يمنع كل ما تريد الجلسة الوصول إليه. معاملات sysctl لإعادة التوجيه وقواعد NAT ومسارات العودة كلها بعد المصادقة، وإعفاء واسع لمنفذ VPN لا يصلح أيا منها. اختبر وجهة داخلية ووجهة إنترنت بشكل منفصل، لأنهما عادةً يفشلان لأسباب مختلفة. إذا فشلت الأسماء الداخلية ونجحت العناوين، فانظر إلى DNS المدفوع قبل أي قاعدة.

نفّذ الفحوص الثلاثة أدناه على الخادم بينما عميل متصل ويحاول الطلب الفاشل.

العدادات على واجهة النفق هي المقصودة، لأنها تُظهر هل دخلت الحزم وهل خرج شيء.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

عندما تصل الحزم على النفق ولا يخرج شيء نحو الوجهة، فإعادة التوجيه أو NAT هي المشتبه به. وعندما لا يصل شيء إطلاقًا، فالجلسة قائمة لكن العميل لا يرسل، وجدول مسارات العميل هو مكان البحث.

تحقق من الإصلاح وأزل ما لم يساعد

بعد تصحيح معتمد، أعد الاختبار نفسه الذي فشل وسجّل النتيجة مقابل الملف التعريفي والجهاز نفسيهما. ثم أزل أي استثناء مؤقت لم يغيّر النتيجة، لأن الاستثناءات غير المستخدمة تتراكم وكل واحد منها قرار لا يتذكره أحد. أبقِ ما يبقى ضيقًا: وجهة واحدة، ومنفذ واحد، واتجاه واحد، ومالك واحد.

أعد تشغيل الأوامر الثلاثة نفسها وقارنها بالمخرجات التي حفظتها قبل التغيير.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

عندما تعمل شبكة المقارنة وتظل الشبكة الأصلية تفشل وتبقى الأحداث فارغة، فالمشتبه به المتبقي هو المسار لا المضيف. سلّم ذلك إلى مالك الشبكة كعبارة محددة، مع إرفاق نتيجتي المقارنة. هذا موضع توقف أفضل من ملف تعريف جدار حماية معطّل.