Дадалі адрас VPN у белы спіс, а блакаванне засталося? Прасочыце яго

Унясенне адраса, які паказвае праграма VPN, у белы спіс рэдка выпраўляе заблакаваны порт, і пакет тлумачыць чаму. Міжсеткавы экран не ігнаруе ваша правіла; ён ацэньвае адрас крыніцы, якога нішто на экране кліента не паказвае. Пакуль прызначэнне не паведаміць гэта значэнне, кожная змена правіла — здагадка.

Пачніце з запыту, які даходзіць да сэрвісу. Адрас тунеля, адрас выхаду і любое пераўтварэнне паміж імі застаюцца гіпотэзамі, пакуль прызначэнне не пацвердзіць адзін з іх.

Адрас у праграме — не той, што прыходзіць

Злучэнне VPN нясе як мінімум чатыры адрасы, якія варта называць асобна: канчатковы пункт сервера, унутраны адрас тунеля, прызначаны вашаму кліенту, лакальны адрас Wi-Fi або Ethernet і публічны адрас, які бачыць сайт пасля выхаду трафіку ад правайдэра. Акно кліента можа паказваць толькі другі. Назавіце ўсе чатыры, перш чым назваць правіла. Пры раздзеленым тунеляванні запыты да публічнага прызначэння могуць цалкам абыходзіць тунель, таму збойны сеанс — не той, які карыстальнік лічыць пачатым.

Вызначце, якое з гэтых чатырох правіла павінна дазволіць, потым праверце яго з іншага боку. Калі патрабаванне сапраўды афісны адрас, умова — гэта маршрут плюс схема выхаду таго сайта, і злучэнне з пазнакай Office VPN не дае ні таго, ні іншага само па сабе.

Прасочыце адзін запыт да мяжы фільтравання

Пацвердзіце адрас прызначэння і порт, якія выкарыстоўвае кліент, затым праверце, што гэта прызначэнне ідзе шляхам, які вы мяркуеце. Апублікаваны порт кантэйнера, зваротны проксі або перанакіраванне порта могуць перанесці рашэнне на хост, які вы ніколі не змянялі. Кожны з гэтых крокаў можа мець уласную палітыку. Папярэдняе вызначэнне шляху пазбаўляе вас ад выпраўлення правіла, да якога не даходзіць ніводны пакет.

На аўтарызаваным хосце Linux прачытайце жывыя правілы па парадку, перш чым іх змяняць. Перанакіраваныя сэрвісы і сэрвісы кантэйнераў часта пераходзяць у свой ланцуг, таму аглядзіце мэту пераходу, а таксама канчатковы вердыкт.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Пазначце ў заяўцы нумар адпаведнага правіла. Без яго наступны чытач не зразумее, якая змена паўплывала на вынік. Нумар правіла без пазнакі часу ўсё яшчэ неадназначны.

Праверце шлях адным абмежаваным перахопам

Адзін бясшкодны запыт і адзін вузкі перахоп вырашаюць пытанне, якое ўвесь час вяртаецца. Фільтруйце па порце прызначэння і хосце, які даследуецца, абмяжуйце колькасць пакетаў і спыніце перахоп, як толькі запыт завершыцца.

tcpdump -ni any 'tcp dst port 9443' -c 20

Параўнайце тры значэнні побач: крыніцу ў перахопе, крыніцу, якую называе адпаведнае правіла, і адмову, якую зафіксавала праграма. Усе яны могуць адрознівацца, і толькі першая тлумачыць адкіданне, вырашанае правілам IP. Перададзены загаловак HTTP належыць узроўню проксі, таму журнал, які цытуе гэты загаловак, не апісвае крыніцу, якую ацаніў міжсеткавы экран.

Чытайце парадак ланцуга, а не толькі правіла

Даведка iptables апісвае ўпарадкаваны праход, таму дазвол, які стаіць ніжэй за адпаведную канчатковую адмову, ніколі не ратуе пакет. Злучэнне, прынятае раней, таксама можа паводзіць сябе інакш за новае, таму старое паспяховае сведчанне нічога не кажа пра новае правіла. Знайдзіце адмову або адкіданне вышэй за ваш дазвол, перш чым меркаваць, што дазвол няправільны. Лічыльнікі па кожным правіле таксама паказваюць, якое правіла ўбачыла пакет.

Выдаленне правіла, каб паглядзець, што адбудзецца, — гэта змена, а не назіранне. Прачытайце лічыльнікі, запішыце нумар правіла і захавайце першапачатковую палітыку ў запісе змяненняў. Калі тэст непазбежны, правядзіце яго на копіі ланцуга.

Змяняйце правіла, якое кантралюе яго ўласнік

Абнаўляйце толькі палітыку крыніцы і сэрвісу, праз таго, хто ёю валодае. Агульны пераўтвораны выхад можа прадстаўляць шмат карыстальнікаў адначасова, таму дазвол гэтага адраса нікога не аўтэнтыфікуе, а дазволы праграмы за ім застаюцца там, дзе былі.

Калі адрас працягвае рухацца, трывалы адказ — стабільны выхад або аўтэнтыфікаваны канал, а не даўжэйшы спіс выключэнняў. Запішыце назіраную крыніцу, порт прызначэння і нумар правіла.