Blokira li firewall VPN? Provjera korak po korak

Jedan istek vremena VPN-a dokazuje da nije stigao nikakav upotrebljiv odgovor i ništa ne dokazuje o razlogu. Profil može navesti pogrešan port, server može biti nedostupan ili zahtjev može stići bez radne povratne putanje. Svako od toga ostavlja drugačiji trag, a trag je ono što vam kaže koje pravilo dodirnuti. Prođite kroz četiri faze ispod redom. Zaustavite se čim jedna od njih objasni simptom.

Korak 1: potvrdite server i transport

Pročitajte ime servera, transport i port iz trenutnog profila operatera, a ne iz lokalne izmjene. Port promijenjen na vašem prijenosniku ne može stvoriti slušača na javnom serveru, a to neslaganje daje istek vremena identičan blokadi. Ako profil nudi podržani alternativni transport, zabilježite ga kao rezervu, a ne kao rješenje. Razriješite ime i uporedite odgovor s adresom koju je operater objavio.

Zastario DNS zapis šalje klijenta na host koji nikada nije odgovorio. To je još jedna greška koja imitira filtar i košta jedan upit da se isključi.

Zapišite obje vrijednosti u tiket. Svako kasnije poređenje ih koristi, a tiket bez njih započinje istragu iznova.

Korak 2: dokažite putanju jednim kontrolisanim poređenjem

Ostavite uređaj i profil nepromijenjene i pokušajte drugu provjerenu pristupnu mrežu. Ako se tunel tamo podigne, razlika je u izvornoj putanji ili njenoj politici. Ako drugi odobreni uređaj radi na izvornoj mreži, razlika je u prvom uređaju. Jedno od tih dvaju poređenja gotovo je uvijek odlučujuće.

Prvo dovršite svaku legitimnu mrežnu prijavu, jer captive portal izgleda kao blokada dok se ne završi.

Testirajte port koji zaista koristite i tretirajte TCP rezultat kao informaciju samo o TCP-u.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Uspješno TCP rukovanje na portu 443 znači da je tamo odgovorio slušač. Ništa ne kaže o UDP slušaču na 51820 niti o tome je li pregovaranje završeno.

Korak 3: pročitajte sigurnosne događaje za trenutak kvara

Događaji firewalla najjači su dostupni dokaz i nose ogradu koju vrijedi prvo navesti. Zapisivanje je isključeno u mnogim zadanim profilima, pa provjerite bilježi li dotični profil odbacivanja prije nego prazan dnevnik pročitate kao dokaz nevinosti. Kada je zapisivanje uključeno, događaj navodi pravilo, smjer i adrese, što je upravo ono što izmjena pravila treba. Pravila aplikacija i pravila portova odvojeni su objekti, a upravljana politika može nadjačati lokalnu postavku. Potvrdite koji klijent i koju uslugu pravilo zaista pokriva.

Prikupljajte stanje profila i nedavne događaje sa stroja koji je zakazao, a ne sa susjednog hosta.

Uporedite vrijeme događaja s vremenom svog pokušaja testa, jer podudarno ime pravila s drugim vremenskim žigom je slučajnost.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Na serveru kojim upravljate pitajte je li zahtjev uopće stigao do slušača. Paket koji stigne bez odgovora problem je prosljeđivanja ili povratne rute. Zahtjev koji se nikad ne pojavi problem je filtriranja ili adresiranja.

Korak 4: testirajte prosljeđivanje nakon podizanja tunela

Firewall može dopustiti sesiju i ipak odbiti sve do čega sesija želi doći. Sysctl za prosljeđivanje, NAT pravila i povratne rute stoje nakon autentifikacije i široko izuzeće za VPN port ne popravlja nijedno od njih. Testirajte jednu internu destinaciju i jednu internet destinaciju odvojeno, jer obično zakažu zbog različitih razloga. Ako interna imena zakažu, a adrese rade, pogledajte gurani DNS prije bilo kojeg pravila.

Izvršite tri provjere ispod na serveru dok je klijent spojen i pokušava zahtjev koji zakaže.

Brojači na sučelju tunela su poanta, jer pokazuju jesu li paketi ušli i je li išta izašlo.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Kada paketi stignu na tunel i ništa ne izađe prema destinaciji, sumnjivac je prosljeđivanje ili NAT. Kada ne stigne ništa, sesija je podignuta ali klijent ne šalje, a mjesto za pogledati je klijentova tablica ruta.

Provjerite popravku i uklonite ono što nije pomoglo

Nakon odobrene korekcije ponovite točno onaj test koji je zakazao i zabilježite rezultat prema istom profilu i uređaju. Zatim uklonite svako privremeno izuzeće koje nije promijenilo ishod, jer se nekorištena izuzeća gomilaju i svako je odluka koje se nitko ne sjeća. Ostatak držite uskim: jedna destinacija, jedan port, jedan smjer, jedan vlasnik.

Ponovo pokrenite iste tri naredbe i uporedite ih s izlazima koje ste spremili prije izmjene.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Kada usporedna mreža radi, izvorna mreža još zakaže i događaji ostanu prazni, preostali sumnjivac je putanja, a ne host. Predajte to vlasniku mreže kao konkretnu izjavu, s priložena oba rezultata poređenja. To je bolje mjesto za zaustavljanje od onemogućenog profila firewalla.