أضفت عنوان VPN إلى القائمة البيضاء وما زال محظورًا؟ تتبَّع الأمر

نادرًا ما يحل إدراج العنوان الذي يعرضه تطبيق VPN في القائمة البيضاء مشكلة منفذ محظور، والحزمة تفسر السبب. الجدار الناري لا يتجاهل قاعدتك؛ بل يقيّم عنوان مصدر لا يُظهره شيء على شاشة العميل. وإلى أن تبلّغ الوجهة بذلك القيمة، يبقى كل تعديل للقاعدة تخمينًا.

ابدأ من الطلب الذي يصل إلى الخدمة. يبقى عنوان النفق وعنوان الخروج وأي ترجمة بينهما مجرد فرضيات حتى تؤكد الوجهة أحدها.

العنوان الظاهر في التطبيق ليس العنوان الواصل

يحمل اتصال VPN أربعة عناوين على الأقل تستحق التسمية منفصلة: نقطة نهاية الخادم، عنوان النفق الداخلي المخصص لعميلك، وعنوان Wi-Fi أو Ethernet المحلي، والعنوان العام الذي يراه موقع ويب بعد مغادرة الحركة للمزود. وقد تعرض نافذة العميل الثاني فقط. سمِّ الأربعة جميعًا قبل أن تسمي قاعدة. ومع النفق المنقسم، يمكن أن تتجاوز الطلبات إلى وجهة عامة النفق بالكامل، لذا فالجلسة الفاشلة ليست تلك التي يعتقد المستخدم أنه بدأها.

حدد أي هذه الأربعة تقصد القاعدة السماح له، ثم تحقق منه من الطرف الآخر. وإذا كان المطلوب حقًا عنوان مكتب، فالشرط هو المسار زائد ترتيب خروج ذلك الموقع، واتصال مُوسم باسم Office VPN لا يوفر أيًا منهما بحد ذاته.

تتبَّع طلبًا واحدًا حتى حد التصفية

أكد عنوان الوجهة والمنفذ اللذين يستخدمهما العميل، ثم تحقق من أن هذه الوجهة تتبع المسار الذي تفترضه. منفذ حاوية منشور أو وكيل عكسي أو تحويل منفذ يمكن أن ينقل القرار إلى مضيف لم تعدله أبدًا. وكل قفزة من تلك القفزات قد تحمل سياستها الخاصة. وتحديد المسار أولاً يوفر عليك تصحيح قاعدة لا تصل إليها أي حزمة.

على مضيف Linux مصرح به، اقرأ القواعد الحية بالترتيب قبل تغييرها. كثيرًا ما تقفز الخدمات المُمرَّرة وخدمات الحاويات إلى سلسلتها الخاصة، لذا افحص هدف القفز فضلاً عن الحكم النهائي.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

اذكر رقم القاعدة المطابقة في التذكرة. وبدونه لا يستطيع القارئ التالي معرفة أي تعديل غيّر النتيجة. ورقم قاعدة بلا طابع زمني يبقى غامضًا.

تحقق من المسار بالتقاط واحد محدد النطاق

طلب واحد غير ضار والتقاط واحد ضيق يحسمان السؤال الذي يعود دائمًا. صفِّ على منفذ الوجهة والمضيف قيد الفحص، وحدد عدد الحزم، وأوقف الالتقاط بمجرد اكتمال الطلب.

tcpdump -ni any 'tcp dst port 9443' -c 20

قارن ثلاث قيم جنبًا إلى جنب: المصدر في الالتقاط، والمصدر الذي تسميه القاعدة المطابقة، والرفض الذي سجله التطبيق. قد تختلف جميعها، والأولى وحدها تفسر إسقاطًا حكمت به قاعدة IP. وترويسة HTTP المُمرَّرة تنتمي إلى طبقة الوكيل، لذا فسجل يقتبس تلك الترويسة لا يصف المصدر الذي قيّمه الجدار الناري.

اقرأ ترتيب السلسلة لا القاعدة وحدها

توثّق مرجع iptables المرور المرتَّب، ولهذا لا تنقذ قاعدة سماح تقع أسفل رفض نهائي مطابق الحزمة أبدًا. كما يمكن أن يتصرف اتصال قُبل سابقًا بشكل مختلف عن اتصال جديد، لذا فالنجاح القديم لا يقول شيئًا عن القاعدة الجديدة. ابحث عن الرفض أو الإسقاط فوق قاعدة السماح قبل افتراض أن السماح خطأ. كما تخبرك العدادات لكل قاعدة أي قاعدة رأت الحزمة.

حذف قاعدة لمراقبة ما يحدث تغيير لا ملاحظة. اقرأ العدادات، وسجّل رقم القاعدة، واحفظ السياسة الأصلية في سجل التغيير. وإذا كان الاختبار لا مفر منه، فشغّله على نسخة من السلسلة.

غيّر القاعدة التي يتحكم بها مالكها

حدّث سياسة المصدر والخدمة المقصودة فقط، عبر من يملكها. فمخرج مُترجم مشترك قد يمثل مستخدمين كثيرين في وقت واحد، لذا فالسماح بذلك العنوان لا يوثق أحدًا، وأذونات التطبيق خلفه تبقى كما هي.

عندما يستمر العنوان في التغير، فالجواب الدائم هو مخرج مستقر أو قناة موثقة، لا قائمة استثناءات أطول. سجّل المصدر المرصود ومنفذ الوجهة ورقم القاعدة.