Dodali ste VPN adresu na bijelu listu, a blokada ostaje? Pratite je

Stavljanje adrese koju prikazuje VPN aplikacija na bijelu listu rijetko popravlja blokirani port, a paket objašnjava zašto. Vatrozid ne zanemaruje vaše pravilo; on ocjenjuje izvornu adresu koju ništa na ekranu klijenta ne pokazuje. Dok odredište ne prijavi tu vrijednost, svaka izmjena pravila je nagađanje.

Pođite od zahtjeva koji stiže do usluge. Adresa tunela, izlazna adresa i svako prevođenje između njih ostaju pretpostavke dok odredište ne potvrdi jednu od njih.

Adresa u aplikaciji nije ona koja stiže

VPN veza nosi najmanje četiri adrese koje vrijedi imenovati odvojeno: krajnju točku poslužitelja, unutarnju adresu tunela dodijeljenu vašem klijentu, lokalnu Wi-Fi ili Ethernet adresu i javnu adresu koju web-mjesto vidi nakon što promet napusti pružatelja. Klijentski prozor može prikazivati samo drugu. Imenujte sve četiri prije nego što imenujete pravilo. Uz podijeljeno tuneliranje, zahtjevi prema javnom odredištu mogu potpuno zaobići tunel, pa neuspjela sesija nije ona za koju korisnik misli da ju je pokrenuo.

Odredite koju od te četiri pravilo treba dopustiti, pa je provjerite s druge strane. Ako je zahtjev doista uredska adresa, uvjet je ruta plus izlazni raspored tog mjesta, a veza označena s Office VPN ne pruža ni jedno od toga sama po sebi.

Prođite jedan zahtjev do njegove granice filtriranja

Potvrdite odredišnu adresu i port koje klijent koristi, zatim provjerite slijedi li to odredište put koji pretpostavljate. Objavljeni port spremnika, obrnuti proxy ili prosljeđivanje porta mogu premjestiti odluku na host koji nikada niste uređivali. Svaki od tih koraka može nositi vlastitu politiku. Utvrđivanje puta najprije spašava vas od ispravljanja pravila do kojeg nijedan paket ne stiže.

Na ovlaštenom Linux hostu pročitajte aktivna pravila redom prije nego što ih promijenite. Proslijeđene i kontejnerske usluge često skaču u vlastiti lanac, pa pregledajte cilj skoka kao i konačnu presudu.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Navedite odgovarajući broj pravila u zahtjevu. Bez njega sljedeći čitatelj ne može znati koja je izmjena promijenila ishod. Broj pravila bez vremenske oznake i dalje je dvosmislen.

Provjerite put jednim ograničenim snimanjem

Jedan bezopasan zahtjev i jedno usko snimanje rješavaju pitanje koje se stalno vraća. Filtrirajte po odredišnom portu i hostu koji se istražuje, ograničite broj paketa i zaustavite snimanje čim zahtjev završi.

tcpdump -ni any 'tcp dst port 9443' -c 20

Usporedite tri vrijednosti jednu uz drugu: izvor u snimci, izvor koji navodi odgovarajuće pravilo i odbijanje koje je aplikacija zabilježila. One se mogu sve razlikovati, a samo prva objašnjava pad koji je odredilo IP pravilo. Proslijeđeno HTTP zaglavlje pripada sloju proxyja, pa zapis koji citira to zaglavlje ne opisuje izvor koji je vatrozid ocijenio.

Čitajte redoslijed lanca, ne samo pravilo

iptables referenca dokumentira uređeni prolazak, zato dopuštenje koje stoji ispod odgovarajućeg konačnog odbijanja nikada ne spašava paket. Veza prihvaćena ranije može se ponašati drukčije od nove, pa staro uspješno stanje ne govori ništa o novom pravilu. Nađite odbijanje ili pad iznad svog dopuštenja prije nego što pretpostavite da je dopuštenje pogrešno. Brojači po pravilu također govore koje je pravilo vidjelo paket.

Brisanje pravila da vidite što se dogodi je promjena, a ne promatranje. Pročitajte brojače, zabilježite broj pravila i sačuvajte izvornu politiku u zapisu promjena. Ako je test neizbježan, pokrenite ga na kopiji lanca.

Promijenite pravilo koje kontrolira njegov vlasnik

Ažurirajte samo predviđenu politiku izvora i usluge, preko onoga tko ju posjeduje. Dijeljeni prevedeni izlaz može predstavljati mnoge korisnike odjednom, pa dopuštanje te adrese nikoga ne autentificira, a dozvole aplikacije iza toga ostaju gdje jesu.

Kad se adresa stalno pomiče, trajni odgovor je stabilan izlaz ili autentificirani kanal, a ne dulji popis iznimaka. Zabilježite promatrani izvor, odredišni port i broj pravila.