Ydy’r wal dân yn blocio’r VPN? Gwiriad cam wrth gam

Mae un terfyn amser VPN yn profi na chyrhaeddodd unrhyw ateb defnyddiadwy, ac nid yw’n profi dim am y rheswm. Gall y proffil enwi’r porth anghywir, gall y gweinydd fod i lawr, neu gall y cais gyrraedd heb lwybr dychwelyd gweithredol. Mae pob un o’r rheini’n gadael ôl gwahanol, a’r ôl sy’n dweud pa reol i’w chyffwrdd. Gweithiwch drwy’r pedwar cam isod yn eu trefn. Stopiwch cyn gynted ag y bydd un ohonynt yn egluro’r symptom.

Cam 1: cadarnhau’r gweinydd a’r trafnidiaeth

Darllenwch enw’r gweinydd, y drafnidiaeth a’r porth o broffil cyfredol y gweithredwr yn hytrach nag o olygiad lleol. Ni all porth a newidiwyd ar eich gliniadur greu gwrandäwr ar weinydd cyhoeddus, ac mae’r anghysondeb hwnnw’n cynhyrchu terfyn amser sy’n union yr un fath â bloc. Os yw’r proffil yn cynnig trafnidiaeth amgen a gefnogir, nodwch hi fel cwlmw yn hytrach nag fel atgyweiriad. Datryswch yr enw a chymharwch yr ateb â’r cyfeiriad a gyhoeddodd y gweithredwr.

Mae cofnod DNS hen yn anfon y cleient i wastadwr na atebodd erioed. Mae hwnnw’n fai arall sy’n dynwared hidlydd, ac mae’n costio un ymholiad i’w ddiystyru.

Ysgrifennwch y ddau werth yn y tocyn. Mae pob cymhariaeth ddiweddarach yn eu defnyddio, ac mae tocyn hebddyn nhw’n ailgychwyn yr ymchwiliad.

Cam 2: profwch y llwybr ag un gymhariaeth reoledig

Cadwch y ddyfais a’r proffil yn ddigyfnewid a cheisiwch rwydwaith mynediad y gellir ymddiried ynddi. Os bydd y tiwnel yn codi yno, y llwybr gwreiddiol neu ei bolisi sydd yn wahanol. Os bydd ail ddyfais gymeradwy yn gweithio ar y rhwydwaith gwreiddiol, y ddyfais gyntaf sydd yn wahanol. Mae un o’r ddwy gymhariaeth hyn bron bob tro yn bendant.

Cwblhewch unrhyw fewngofnodi rhwydwaith dilys yn gyntaf, oherwydd mae portal caeth yn edrych fel bloc nes iddo gael ei gwblhau.

Profwch y porth rydych chi’n ei ddefnyddio mewn gwirionedd, a thriniwch ganlyniad TCP fel gwybodaeth am TCP yn unig.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Mae llawdriniaeth TCP lwyddiannus ar borth 443 yn dweud bod gwrandäwr wedi ateb yno. Nid yw’n dweud dim am wrandäwr UDP ar 51820, nac am a gwblhawyd y trafodaethau.

Cam 3: darllenwch y digwyddiadau diogelwch ar gyfer eiliad y methiant

Digwyddiadau’r wal dân yw’r dystiolaeth gryfaf sydd ar gael, ac maent yn cario rhybudd sy’n werth ei nodi gyntaf. Mae logio’n anabl mewn llawer o broffiliau diofyn, felly gwiriwch a yw’r proffil perthnasol yn cofnodi gollyngiadau cyn darllen log gwag fel prawf o ddiniweidrwydd. Pan fydd logio ymlaen, mae’r digwyddiad yn enwi’r rheol, y cyfeiriad a’r cyfeiriadau, sef yn union yr hyn y mae newid rheol ei angen. Mae rheolau cymwysiadau a rheolau porth yn wrthrychau ar wahân, a gall polisi a reolir ddiystyru gosodiad lleol. Cadarnhewch pa gleient a pha wasanaeth y mae rheol yn ei gwmpasu mewn gwirionedd.

Casglwch gyflwr y proffil a’r digwyddiadau diweddar o’r peiriant a fethodd, nid o wastadwr cyfagos.

Darllenwch amser y digwyddiad yn erbyn amser eich ymgais brawf, oherwydd mae enw rheol sy’n cyfateb â stamp amser gwahanol yn gyd-ddigwyddiad.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Ar weinydd rydych chi’n ei weinyddu, gofynnwch a gyrhaeddodd y cais y gwrandäwr o gwbl. Mae pecyn sy’n cyrraedd heb ateb yn broblem anfon ymlaen neu lwybr dychwelyd. Mae cais na ymddangosodd byth yn broblem hidlo neu gyfeiriannu.

Cam 4: profwch anfon ymlaen ar ôl i’r tiwnel godi

Gall wal dân ganiatáu’r sesiwn ac o hyd wrthod popeth y mae’r sesiwn am ei gyrraedd. Mae sysctl anfon ymlaen, rheolau NAT a llwybrau dychwelyd i gyd ar ôl dilysu, ac nid yw esemptiad eang ar gyfer porth VPN yn atgyweirio’r un ohonynt. Profwch un gyrchfan fewnol ac un gyrchfan rhyngrwyd ar wahân, oherwydd maent fel arfer yn methu am wahanol resymau. Os yw enwau mewnol yn methu ond cyfeiriadau’n gweithio, edrychwch ar y DNS a wthiwyd cyn unrhyw reol.

Rhedwch y tri gwiriad isod ar y gweinydd tra bod cleient wedi’i gysylltu ac yn ceisio’r cais sy’n methu.

Mae’r rhifyddion ar ryngwyneb y tiwnel yn bwynt, oherwydd maent yn dangos a aeth pecynnau i mewn ac a aeth unrhyw beth allan.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Pan fydd pecynnau’n cyrraedd y tiwnel ac unrhyw beth ddim yn gadael tuag at y gyrchfan, anfon ymlaen neu NAT yw’r sawl a amheuir. Pan na fydd unrhyw beth yn cyrraedd o gwbl, mae’r sesiwn i fyny ond nid yw’r cleient yn anfon, a’r lle i edrych yw tabl llwybrau’r cleient.

Gwiriwch yr atgyweiriad a thynnwch yr hyn na helpodd

Ar ôl cywiriad cymeradwy, ailadroddwch yr union brawf a fethodd a chofnodwch y canlyniad yn erbyn yr un proffil a dyfais. Yna tynnwch unrhyw eithriad dros dro na newidiodd y canlyniad, oherwydd mae eithriadau di-ddefnydd yn cronni ac mae pob un yn benderfyniad nad oes neb yn cofio ei wneud. Cadwch yr hyn sy’n weddill yn gul: un gyrchfan, un porth, un cyfeiriad, un perchennog.

Ailredwch yr un tri gorchymyn a’u cymharu â’r allbynnau a gadwasoch cyn y newid.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Pan fydd y rhwydwaith cymharu yn gweithio, y rhwydwaith gwreiddiol yn dal i fethu a’r digwyddiadau’n aros yn wag, y sawl a amheuir sy’n weddill yw’r llwybr yn hytrach na’r gwesteiwr. Trosglwyddwch hynny i berchennog y rhwydwaith fel datganiad penodol, gyda’r ddau ganlyniad cymharu ynghlwm. Mae hwnnw’n lle gwell i stopio na phroffil wal dân wedi’i analluogi.