VPN wedi cysylltu ond mae'r mur gwarchod yn dal i rwystro: sut i wybod pa un

Mae'r cleient yn dweud ei fod wedi cysylltu, mae'r adnodd yn dal i wrthod, a'r cam nesaf arferol yw diffodd rhywbeth. Mae'r ddwy reolaeth yn y frawddeg honno'n gwneud gwaith gwahanol: mae'r VPN yn adeiladu llwybr ar gyfer y traffig a gwmpesir, ac mae mur gwarchod yn penderfynu fesul cysylltiad a gaiff y traffig basio. Mae twnnel sy'n gweithio gyda pholisi sy'n gwrthod yn edrych yn union fel twnnel wedi torri o sedd y defnyddiwr, felly'r dasg yw darganfod pa haen sy'n ateb. Dyma'r drefn yr wyf yn ei dilyn, gyda'r darlleniad sy'n dweud wrthych am stopio.

Gwahanwch y llwybr oddi wrth y polisi

Dechreuwch â siâp y methiant, oherwydd gwybodaeth am ddim yw hynny. Mae gollwng pecyn yn cynhyrchu goramser: mae'r cleient yn ceisio eto, ni ddaw dim yn ôl, ac mae'r gorchymyn yn hongian nes iddo ildio. Mae gwrthodiad yn cynhyrchu gwrthodiad neu ailosodiad: atebodd rhywbeth a dweud na. Mae gwasanaeth nad yw'n gwrando yn gwrthod ar y gwesteiwr ei hun, heb unrhyw fur gwarchod o gwbl.

Mae'r tri chanlyniad hynny'n pwyntio at haenau gwahanol. Mae goramser yn golygu bod polisi yn rhywle'n gollwng yn dawel, neu nad yw'r llwybr byth yn gadael y peiriant. Mae gwrthod yn golygu eich bod wedi cyrraedd y gwesteiwr ac i'w stac neu ei fur gwarchod lleol wrthod. Dim byd o gwbl, gyda rhyngwyneb y twnnel i fyny ac heb lwybr i'r cyrchfan, yn golygu bod y llwybr yn anghywir ac na fydd unrhyw reol mur gwarchod yn ei drwsio.

Darllenwch y llwybr mewn un pas

Cadarnhewch fod y twnnel yn cwmpasu'r cyrchfan cyn i chi edrych ar unrhyw reol. Ni fydd twnnel hollt sy'n cario isrwyd y swyddfa yn unig yn llwybro cais i ystod arall, ac yna mae'r methiant yn edrych fel bloc mur gwarchod nad yw felly:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Mae allbwn y llwybr yn enwi'r rhyngwyneb y bydd y pecyn yn gadael drwyddo a'r cyfeiriad ffynhonnell y bydd yn ei gario. Os mai'r rhyngwyneb hwnnw yw eich cerdyn rhwydwaith corfforol yn hytrach na'r twnnel, mae'r broblem yn y llwybro neu yn yr ystodau a ganiateir i'r twnnel, ac mae'n perthyn i ffurfweddiad y VPN yn hytrach nag i'r mur gwarchod.

Mae un trap sy'n benodol i VPN yn haeddu ei wirio ei hun. Yn WireGuard, mae AllowedIPs partner yn llwybr ac yn hidlydd cryptograffig ar yr un pryd: mae pecyn nad yw ei gyfeiriad ffynhonnell yn cyfateb i set a ganiateir y partner yn cael ei ollwng cyn i unrhyw reol mur gwarchod gael ei hystyried. Felly gall mur gwarchod gwesteiwr hollol gywir fod y tu ôl i ollwng tawel sy'n edrych fel polisi, a'r ateb yw llinell ffurfweddu allwedd yn hytrach na rheol.

Darllenwch y polisi ar yr haen sy'n ateb

Unwaith y bydd y llwybr yn gywir, cerddwch y polisi o'r gwesteiwr tuag allan a gwyliwch am yr un haen y mae ei chyfrifwyr yn symud:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Mae'r soced sy'n gwrando yn ateb cwestiwn gwahanol i'r rheolau. Os nad oes dim yn gwrando ar y porth, mae'r cnewyllyn yn gwrthod y cysylltiad ac nid oes unrhyw reol fewnol yn berthnasol. Os yw'r soced yn bodoli ac mae'r cysylltiad o gleient o bell yn dod i ben, mae gollwng yn digwydd yn rhywle ar y llwybr, ac mae cyfrifwyr y rheolau'n dweud wrthych a yw'n digwydd yma.

Trowch y cofnodi ymlaen ar gyfer y proffil neu'r gadwyn rydych yn ei amau yn lle dyfalu o'r tu allan. Mae un gollwng wedi'i chofnodi sy'n enwi'r ffynhonnell, y cyrchfan a'r porth yn nodi'r haen a'r rheol, ac mae hefyd yn profi bod y pecyn wedi cyrraedd, rhywbeth na all unrhyw brofi o du'r cleient ei sefydlu.

Darllenwch benderfyniad y porth dysgu pan fydd y twnnel yn gorffen yno

Ar borth dysgu safle-i-safle neu fynediad o bell, mae'r VPN yn dilysu defnyddiwr ac mae'r polisi'n awdurdodi adnodd, ac mae'r rheini'n grantiau ar wahân. Nid yw defnyddiwr a ganiateir i mewn i'r twnnel yn cael ei ganiatáu'n awtomatig i bob gwesteiwr mewnol, ac mae'r gwrthodiad yn aml yn dod o reol anfon tra bod y twnnel ei hun yn iach. Mae'r un gwahaniad i'w weld yn IPsec, lle mae'r polisi diogelwch sy'n dewis traffig yn wahanol i'r hidlydd sy'n ei dderbyn, a dyna pam mae'r ddau wedi'u dogfennu fel mecanweithiau gwahanol yn RFC 4301.

Gwiriwch y llwybr dychwelyd mor ofalus â'r un allan. Mae hidlo cyflwr angen gweld yr ateb, felly mae llwybro anghymesur trwy'r twnnel i un cyfeiriad ac o'i amgylch i'r llall yn cynhyrchu gollyngiadau sy'n edrych yn hap ac sy'n atgynhyrchu dim ond o rai cleientiaid. Os yw traffig yn cyrraedd y porth dysgu ac yn stopio, darllenwch y rheol anfon a'r llwybr dychwelyd gyda'i gilydd cyn i chi ehangu unrhyw beth.

Mae'r porth dysgu hefyd yn lle y gall rheol NAT neu fasgio guddio'r gwir ffynhonnell. Os yw gwesteiwyr mewnol yn gweld cyfeiriad y porth dysgu yn lle'r cleient, ni fydd eu rheolau mur gwarchod lleol sy'n cyfateb i'r pwll cleientiaid byth yn cyfateb, ac mae'r ateb yn perthyn i'r porth dysgu yn hytrach nag i bob gweinydd.

Newidiwch yr haen gulaf, yna gwiriwch

Gwrthwynebwch y trwsio eang. Mae diffodd y mur gwarchod lleol, ychwanegu rheol sy'n caniatáu popeth, neu orfodi pob rhyngwyneb i broffil dibynadwy yn tynnu'r reolaeth a oedd yn gwneud ei gwaith, ac mae'r newid yn byw y tu hwnt i'r digwyddiad. Mae rheol wedi'i chyfyngu i'r ystod ffynhonnell a'r porth dan sylw yn haws i'w hadolygu, yn haws i'w thynnu, ac yn gadael gweddill polisi'r peiriant yn gyfan.

Gwiriwch gyda'r un prawf a fethodd, o'r un cleient, ac yna unwaith eto ar ôl ailgysylltu, oherwydd gall rheol sy'n cyfateb cyn i'r twnnel ail-drafod roi'r gorau i gyfateb ar ei ôl:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Cyn i chi gau'r mater:

• Mae'r llwybr i'r cyrchfan yn gadael trwy ryngwyneb y twnnel, ac mae'r cyfeiriad ffynhonnell yn cyfateb i'r hyn y mae'r polisi'n ei ddisgwyl.
• Mae rhywbeth yn gwrando ar y porth, ac mae'r gwrthodiad neu'r goramser yn cael ei briodoli i reol a enwir yn hytrach na'i dybio.
• Mae'r porth dysgu'n anfon yn y ddau gyfeiriad, ac mae'r cyrchfan yn gweld y ffynhonnell yr ysgrifennwyd eich rheolau ar ei chyfer.
• Ni ddiffoddwyd unrhyw reolaeth i wneud i'r prawf basio, ac mae'r newid a wnaethoch yn enwi un ystod ffynhonnell ac un porth.