Добавихте адреса на VPN в белия списък, а блокирането остава? Проследете го

Добавянето на адреса, който показва приложението VPN, в белия списък рядко поправя блокиран порт, а пакетът обяснява защо. Защитната стена не игнорира вашето правило; тя оценява адрес на източник, който нищо на екрана на клиента не показва. Докато дестинацията не съобщи тази стойност, всяка промяна на правило е догадка.

Започнете от заявката, която стига до услугата. Адресът на тунела, адресът на изхода и всяко преобразуване помежду им остават хипотези, докато дестинацията потвърди едно от тях.

Адресът в приложението не е този, който пристига

Връзката VPN носи поне четири адреса, които си струва да се назоват отделно: крайната точка на сървъра, вътрешния адрес на тунела, зададен на вашия клиент, локалния адрес на Wi-Fi или Ethernet и публичния адрес, който сайт вижда, след като трафикът напусне доставчика. Прозорецът на клиента може да показва само втория. Назовете и четирите, преди да назовете правило. При разделено тунелиране заявките към публична дестинация могат напълно да заобиколят тунела, така че неуспешната сесия не е тази, която потребителят смята, че е започнал.

Определете кой от тези четири адреса правилото трябва да разреши, след което го проверете от другата страна. Ако изискването наистина е офис адрес, условието е маршрутът плюс схемата за изход на този сайт, а връзка с етикет Office VPN не предоставя нито едно от двете само по себе си.

Проследете една заявка до границата на филтриране

Потвърдете адреса на дестинацията и порта, които клиентът използва, след което проверете, че тази дестинация следва пътя, който предполагате. Публикуван порт на контейнер, обратен прокси или пренасочване на порт могат да преместят решението на хост, който никога не сте редактирали. Всяка от тези стъпки може да носи собствена политика. Установяването на пътя първо ви спестява поправяне на правило, до което не стига нито един пакет.

На оторизиран хост с Linux прочетете живите правила по ред, преди да ги промените. Пренасочените и контейнерните услуги често прескачат в собствената си верига, затова прегледайте целта на прескачането, както и окончателната присъда.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Цитирайте номера на съответното правило в заявката. Без него следващият читател не може да разбере коя промяна е променила резултата. Номер на правило без времева марка все още е двусмислен.

Проверете пътя с едно ограничено прихващане

Една безобидна заявка и едно тясно прихващане решават въпроса, който постоянно се връща. Филтрирайте по порта на дестинацията и хоста, който се изследва, ограничете броя пакети и спрете прихващането веднага щом заявката завърши.

tcpdump -ni any 'tcp dst port 9443' -c 20

Сравнете три стойности една до друга: източника в прихващането, източника, който назовава съответното правило, и отказа, който приложението е записало. Те могат да се различават, и само първият обяснява отхвърляне, решено от правило за IP. Препредадена HTTP заглавка принадлежи на прокси слоя, така че журнал, който цитира тази заглавка, не описва източника, който защитната стена е оценила.

Четете реда на веригата, не само правилото

Справката за iptables документира подредено преминаване, поради което разрешение, стоящо под съответен краен отказ, никога не спасява пакета. Връзка, приета по-рано, също може да се държи различно от нова, така че старият успех не казва нищо за новото правило. Намерете отказа или отхвърлянето над вашето разрешение, преди да предположите, че разрешението е грешно. Броячите за всяко правило също ви казват кое правило е видяло пакета.

Изтриването на правило, за да видите какво ще стане, е промяна, а не наблюдение. Прочетете броячите, запишете номера на правилото и запазете оригиналната политика в записа за промени. Ако тестът е неизбежен, изпълнете го върху копие на веригата.

Променете правилото, което собственикът му контролира

Актуализирайте само предвидената политика за източник и услуга, чрез този, който я притежава. Споделен преобразуван изход може да представлява много потребители наведнъж, така че разрешаването на този адрес не удостоверява никого, а разрешенията на приложението зад него остават там, където са.

Когато адресът продължава да се движи, трайният отговор е стабилен изход или удостоверен канал, а не по-дълъг списък с изключения. Запишете наблюдавания източник, порта на дестинацията и номера на правилото.