Heu posat l’adreça VPN a la llista blanca i encara es bloqueja? Resseguiu-la

Posar a la llista blanca l’adreça que mostra una aplicació VPN poques vegades arregla un port bloquejat, i el paquet n’explica el motiu. El tallafocs no ignora la vostra regla; avalua una adreça d’origen que res de la pantalla del client no mostra. Fins que la destinació no informi d’aquest valor, cada edició de la regla és una conjectura.

Comenceu per la petició que arriba al servei. L’adreça del túnel, l’adreça de sortida i qualsevol traducció entremig queden com a hipòtesis fins que la destinació confirmi una d’elles.

L’adreça de l’aplicació no és la que arriba

Una connexió VPN porta com a mínim quatre adreces que val la pena nomenar per separat: el punt final del servidor, l’adreça interna del túnel assignada al vostre client, l’adreça local de Wi-Fi o Ethernet, i l’adreça pública que veu un lloc web després que el trànsit surti del proveïdor. La finestra del client potser només mostra la segona. Nomenau totes quatre abans de nomenar una regla. Amb túnel dividit, les peticions a una destinació pública poden saltar-se el túnel del tot, així que la sessió fallida no és la que l’usuari creu que ha començat.

Decidiu quina d’aquestes quatre ha de permetre la regla i verifiqueu-ho des de l’altre costat. Si el requisit és realment una adreça d’oficina, la condició és la ruta més la disposició de sortida d’aquell lloc, i una connexió etiquetada com a Office VPN no proporciona cap de les dues per si sola.

Resseguiu una petició fins a la seva frontera de filtratge

Confirmeu l’adreça de destinació i el port que fa servir el client, i comproveu que aquesta destinació segueix el camí que suposeu. Un port de contenidor publicat, un proxy invers o una redirecció de port poden traslladar la decisió a un amfitrió que mai no heu editat. Cadascun d’aquests salts pot portar la seva pròpia política. Establir primer el camí us estalvia corregir una regla que cap paquet no arriba a tocar.

En un amfitrió Linux autoritzat, llegiu les regles actives per ordre abans de canviar-les. Els serveis reenviats i els de contenidors sovint salten a la seva pròpia cadena, així que inspeccioneu l’objectiu del salt i també el veredicte final.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Citeu el número de regla corresponent al tiquet. Sense això, el lector següent no pot saber quina edició va canviar el resultat. Un número de regla sense marca de temps encara és ambigu.

Verifiqueu el camí amb una captura acotada

Una petició innòcua i una captura estreta resolen la pregunta que torna una vegada i una altra. Filtreu pel port de destinació i l’amfitrió investigat, limiteu el nombre de paquets i atureu la captura tan bon punt la petició es completi.

tcpdump -ni any 'tcp dst port 9443' -c 20

Compareu tres valors l’un al costat de l’altre: l’origen de la captura, l’origen que anomena la regla corresponent i el rebuig que l’aplicació ha registrat. Tots poden diferir, i només el primer explica una caiguda decidida per una regla d’IP. Una capçalera HTTP reenviada pertany a la capa del proxy, així que un registre que cita aquesta capçalera no descriu l’origen que el tallafocs ha avaluat.

Llegiu l’ordre de la cadena, no només la regla

La referència d’iptables documenta el recorregut ordenat, i per això una autorització situada sota un rebuig terminal corresponent mai no rescata el paquet. Una connexió acceptada abans també pot comportar-se diferent d’una de nova, així que un èxit antic no diu res sobre la regla nova. Trobeu el rebuig o la caiguda per sobre de la vostra autorització abans de suposar que l’autorització és incorrecta. Els comptadors per regla també us diuen quina regla ha vist el paquet.

Esborrar una regla per veure què passa és un canvi, no una observació. Llegiu els comptadors, anoteu el número de regla i conserveu la política original al registre de canvis. Si una prova és inevitable, feu-la en una còpia de la cadena.

Canvieu la regla que controla el seu propietari

Actualitzeu només la política d’origen i de servei prevista, a través de qui la posseeix. Una sortida traduïda compartida pot representar molts usuaris alhora, així que permetre aquella adreça no autentica ningú, i els permisos de l’aplicació al darrere es queden on són.

Quan l’adreça no para de moure’s, la resposta duradora és una sortida estable o un canal autenticat, no una llista d’excepcions més llarga. Anoteu l’origen observat, el port de destinació i el número de regla.