Няма інтэрнэту пасля выдалення VPN? Праверце трох уладальнікаў

Кліент выдалены, а машына ўсё яшчэ нікуды не дастаецца, і гэта спакушае цалкам прыбраць файрвол і пачаць спачатку. Не рабіце гэтага. Стан блакіроўкі можа паходзіць ад трох розных уладальнікаў на адной машыне, і кожны мае свой шлях выдалення. Адначасовае скідванне ўсяго выдаляе аб’ект, ад якога вы хацелі пазбавіцца, разам з аховай, якая вам яшчэ патрэбна, і да таго ж знішчае доказы таго, які ўладальнік стаў прычынай праблемы. Пяць праверкаў па парадку не даюць гэтаму адбыцца.

Праверка 1: што яшчэ засталося і для чаго яно

Шукайце тры артэфакты асобна: віртуальны адаптар, які яшчэ існуе, фільтр або правіла файрвола, якое яшчэ блакуе, і маршрут або правіла палітыкі, якое яшчэ паказвае на тунель, якога ўжо няма. Іх наяўнасць сама па сабе нічога не даказвае, бо наўмысны аварыйны выключальнік знешне выглядае гэтак жа, як закінуты.

Get-NetAdapter | Where-Object Status -eq 'Up'
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object Action -eq 'Block'
ip route show
ip -4 rule show

Запішыце час, калі знікла злучэнне, і ці можа звычайны кліент яшчэ запусціць свой тунель. Калі кліент можа аднавіць тунель і трафік вяртаецца, блакіроўка выконвае сваю задачу, а праблема ў стане кліента, а не ў пакінутым правіле.

Праверка 2: які ўладальнік ім кіруе

Кожны артэфакт мае ўладальніка. Віртуальны адаптар належыць кліенту VPN або яго драйверу. Фільтр можа належаць кліенту, уласнаму файрволу платформы або кіраванаму прадукту бяспекі. Маршрут мог быць усталяваны кліентам у момант падключэння і пакінуты.

На кіраваным абсталяванні праверце палітыку прылады, перш чым нешта чапаць. Фільтр, які навязаны палітыкай, будзе адноўлены пры наступнай рэгістрацыі, таму лакальнае выдаленне купляе гадзіну і справаздачу аб адпаведнасці. Гэта размова для адміністратара, а не для інтэрфейсу файрвола.

Праверка 3: выдаліце самае вузкае, што гэта тлумачыць

Пачніце з падтрыманага пастаўшчыком шляху: рамонтная ўстаноўка або належнае выдаленне часта карэктна чысцяць створаны стан, уключаючы фільтры, якія ручное выдаленне прапусціла б. Прачытайце інструкцыі па аднаўленні для ўсталяванай версіі, бо паслядоўнасць важная, і выдаленне пасля няўдалага выдалення паводзіць сябе інакш.

Калі ручная праверка сапраўды патрэбна, запішыце назву правіла, інтэрфейс і заяўленую мэту, перш чым нешта змяняць, і выдаліце гэты аб’ект па назве. Выдаленне ўсіх сеткавых адаптараў або скідванне ўсяго набору правілаў дзеля аднаго кліента — гэта шлях, якім зварот у падтрымку ператвараецца ў перабудову.

Праверка 4: DNS і маршруты перажываюць адаптары

Стан развязання можа перажыць тунель. Рэзалвер, які ўсё яшчэ паказвае на адрас унутры тунеля, якога ўжо няма, стварае тайм-аўты, што выглядаюць дакладна як адкіданне файрволам, і звычайная выснова тут няправільная.

resolvectl status
ip route get 1.1.1.1
nslookup example.com

Калі адрас развязаецца і сырое злучэнне па IP працуе, DNS — гэта пакінутая праблема, а не фільтраванне. Калі не ўдаецца і тое і другое, вярніцеся да праверкі першай з маршрутам і фільтрам у руках.

Праверка 5: пераправерце абодва шляхі і вярніце дыягностыку на месца

Спачатку праверце звычайнае злучэнне, затым кожны пакінуты профіль VPN праз яго ўласныя сродкі: падключыцеся, скарыстайцеся, адключыце і пераканайцеся, што хост вярнуўся да звычайнага злучэння. Гэтае кола — той тэст, які даказвае, што закінутая блакіроўка знікла, а не проста абыйдзена.

Нарэшце, аднавіце любыя дыягнастычныя змены, зробленыя па шляху. Паспяховая ачыстка выдаляе адну закінутую залежнасць; яна не выдаляе агульную ахову хоста і не павінна пакідаць пасля сябе назаўсёды паслаблены файрвол. Адзначце, які ўладальнік трымаў блакіроўку, бо наступнае выдаленне дасць тых жа трох кандыдатаў.