Firewall VPN-i bloklayırmı? Mərhələ-mərhələ yoxlama

Bir VPN taym-autu istifadəyə yararlı cavabın gəlmədiyini sübut edir və səbəbi haqqında heç nə sübut etmir. Profil səhv portu göstərə bilər, server işləməyə bilər və ya sorğu işlək geri dönüş yolu olmadan gələ bilər. Bunların hər biri fərqli iz qoyur və hansı qaydaya toxunacağınızı məhz iz deyir. Aşağıdakı dörd mərhələni sıra ilə işləyin. Hansı biri simptomu izah edən kimi dayanın.

Addım 1: serveri və nəqli təsdiqləyin

Server adını, nəqli və portu yerli düzəlişdən deyil, operatorun cari profilindən oxuyun. Noutbukda dəyişdirilmiş port publik serverdə dinləyici yarada bilməz və bu uyğunsuzluq blokla eyni taym-aut yaradır. Profil dəstəklənən alternativ nəql təklif edirsə, onu düzəliş kimi deyil, ehtiyat variant kimi qeyd edin. Adı həll edin və cavabı operatorun yayımladığı ünvanla müqayisə edin.

Köhnəmiş DNS qeydi müştərini heç vaxt cavab verməyən hosta göndərir. Bu, filtri təqlid edən başqa bir nasazlıqdır və istisna etmək bir sorğuya başa gəlir.

Hər iki dəyəri bilete yazın. Sonrakı bütün müqayisələr onlardan istifadə edir və onlarsız bilet araşdırmanı yenidən başladır.

Addım 2: yolu bir nəzarətli müqayisə ilə sübut edin

Cihazı və profili dəyişməz saxlayın və başqa etibarlı giriş şəbəkəsi sınayın. Tunel orada qalxırsa, fərq ilkin yol və ya onun siyasətidir. İkinci təsdiqlənmiş cihaz ilkin şəbəkədə işləyirsə, fərq birinci cihazdır. Bu iki müqayisədən biri demək olar ki, həmişə həlledicidir.

Əvvəlcə istənilən qanuni şəbəkə girişini tamamlayın, çünki captive portal tamamlanana qədər bloka bənzəyir.

Həqiqətən istifadə etdiyiniz portu yoxlayın və TCP nəticəsini yalnız TCP haqqında məlumat kimi qəbul edin.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

443 portunda uğurlu TCP əl sıxışması orada bir dinləyicinin cavab verdiyini bildirir. 51820 portundakı UDP dinləyicisi və danışıqların tamamlanması haqqında heç nə demir.

Addım 3: uğursuzluq anı üçün təhlükəsizlik hadisələrini oxuyun

Firewall hadisələri mövcud ən güclü dəlildir və əvvəlcə qeyd edilməli bir şərt daşıyır. Bir çox standart profildə jurnal qeydiyyatı söndürülür, ona görə boş jurnalı bəraət sübutu kimi oxumazdan əvvəl müvafiq profilin düşmələri qeyd edib-etmədiyini yoxlayın. Qeydiyyat açıq olduqda hadisə qaydanı, istiqaməti və ünvanları göstərir və bu, qayda dəyişikliyinin ehtiyac duyduğu tam məlumatdır. Tətbiq qaydaları və port qaydaları ayrı obyektlərdir və idarə olunan siyasət yerli parametri üstələyə bilər. Qaydanın hansı müştərini və hansı xidməti əhatə etdiyini təsdiqləyin.

Profil vəziyyətini və son hadisələri qonşu hostdan deyil, uğursuz olan maşından toplayın.

Hadisə vaxtını sınaq cəhdinizin vaxtı ilə tutuşdurun, çünki fərqli zaman damğası ilə uyğun qayda adı təsadüfdür.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

İdarə etdiyiniz serverdə sorğunun ümumiyyətlə dinləyiciyə çatıb-çatmadığını soruşun. Cavabsız gələn paket yönləndirmə və ya geri marşrut problemidir. Heç görünməyən sorğu isə filtrləmə və ya ünvanlama problemidir.

Addım 4: tunel qalxdıqdan sonra yönləndirməni yoxlayın

Firewall sessiyaya icazə verib, yenə də sessiyanın çatmaq istədiyi hər şeyi rədd edə bilər. Yönləndirmə sysctl-ləri, NAT qaydaları və geri marşrutlar hamısı autentifikasiyadan sonradır və VPN portu üçün geniş istisna onların heç birini düzəltmir. Bir daxili təyinatı və bir internet təyinatını ayrı-ayrı yoxlayın, çünki onlar adətən fərqli səbəblərdən uğursuz olur. Daxili adlar uğursuz olub ünvanlar işləyirsə, hər hansı qaydadan əvvəl ötürülən DNS-ə baxın.

Aşağıdakı üç yoxlamanı müştəri qoşulmuş və uğursuz sorğunu təkrar etdiyi zaman serverdə icra edin.

Tunel interfeysindəki sayğaclar əsas məqamdır, çünki paketlərin daxil olub-olmadığını və nəyinsə çıxıb-çıxmadığını göstərir.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Tunelə paketlər gəlib təyinat istiqamətində heç nə çıxmırsa, şübhəli yönləndirmə və ya NAT-dır. Ümumiyyətlə heç nə gəlmirsə, sessiya qalxıb amma müştəri göndərmir və baxmalı yer müştərinin marşrut cədvəlidir.

Düzəlişi yoxlayın və kömək etməyənləri silin

Təsdiqlənmiş düzəlişdən sonra uğursuz olan dəqiq sınağı təkrarlayın və nəticəni eyni profil və cihaz üzrə qeyd edin. Sonra nəticəni dəyişməyən hər hansı müvəqqəti istisnanı silin, çünki istifadə olunmayan istisnalar yığılır və hər biri heç kimin xatırlamadığı bir qərardır. Qalanı dar saxlayın: bir təyinat, bir port, bir istiqamət, bir sahib.

Eyni üç əmri yenidən işə salın və onları dəyişiklikdən əvvəl saxladığınız çıxışlarla müqayisə edin.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Müqayisə şəbəkəsi işləyir, ilkin şəbəkə hələ də uğursuz olur və hadisələr boş qalırsa, qalan şübhəli host deyil, yoldur. Bunu hər iki müqayisə nəticəsi ilə birlikdə konkret ifadə kimi şəbəkə sahibinə verin. Bu, söndürülmüş firewall profilindən daha yaxşı dayanma nöqtəsidir.