Wedi rhoi cyfeiriad VPN ar y rhestr wen ac yn dal i gael ei rwystro? Olrheiniwch ef

Anaml y mae rhoi’r cyfeiriad y mae ap VPN yn ei ddangos ar y rhestr wen yn trwsio porthladd sydd wedi’i rwystro, ac mae’r pecyn yn egluro pam. Nid yw’r wal dân yn anwybyddu’ch rheol; mae’n gwerthuso cyfeiriad ffynhonnell nad yw dim ar sgrin y cleient yn ei ddangos. Hyd nes y bydd’r gyrchfan yn adrodd y gwerth hwnnw, dyfaliad yw pob golygiad rheol.

Dechreuwch o’r cais sy’n cyrraedd y gwasanaeth. Mae cyfeiriad y tiwnel, y cyfeiriad allan ac unrhyw gyfieithiad rhyngddynt yn parhau’n rhagdybiaethau nes i’r gyrchfan gadarnhau un ohonynt.

Nid yw’r cyfeiriad yn yr ap yw’r un sy’n cyrraedd

Mae cysylltiad VPN yn cario o leiaf bedwar cyfeiriad sy’n werth eu henwi ar wahân: pwynt diwedd y gweinydd, cyfeiriad mewnol y tiwnel a neilltuwyd i’ch cleient, cyfeiriad lleol Wi-Fi neu Ethernet, a’r cyfeiriad cyhoeddus y mae gwefan yn ei weld ar ôl i draffig adael y darparwr. Efallai mai dim ond yr ail un y mae ffenestr y cleient yn ei ddangos. Enwch bob un o’r pedwar cyn enwi rheol. Gyda thiwnelu hollt, gall ceisiadau i gyrchfan gyhoeddus hepgor y tiwnel yn gyfan gwbl, felly nid y sesiwn sy’n methu yw’r un y mae’r defnyddiwr yn credu iddo’i dechrau.

Penderfynwch pa un o’r pedwar y mae’r rheol i fod i’w ganiatáu, yna gwiriwch hi o’r ochr arall. Os yw’r gofyniad wir yn gyfeiriad swyddfa, y cyflwr yw’r llwybr ynghyd â threfniant allanfa’r safle hwnnw, ac nid yw cysylltiad wedi’i labelu Office VPN yn darparu’r naill na’r llall ar ei ben ei hun.

Cerddwch un cais hyd at ei ffin hidlo

Cadarnhewch y cyfeiriad cyrchfan a’r porthladd y mae’r cleient yn eu defnyddio, yna gwiriwch fod y gyrchfan hon yn dilyn y llwybr rydych yn ei dybio. Gall porthladd cynhwysydd cyhoeddedig, procsi cefn neu anfon porthladd symud y penderfyniad i westeiwr na wnaethoch chi erioed ei olygu. Gall pob un o’r camau hynny gario’i bolisi ei hun. Mae sefydlu’r llwybr yn gyntaf yn eich arbed rhag cywiro rheol nad yw unrhyw becyn byth yn cyrraedd.

Ar westai Linux awdurdodedig, darllenwch y rheolau byw mewn trefn cyn eu newid. Mae gwasanaethau a anfonir ymlaen a gwasanaethau cynwysyddion yn aml yn neidio i’w cadwyn eu hunain, felly archwiliwch darged y naid yn ogystal â’r dyfarniad terfynol.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Dyfynnwch rif y rheol sy’n cyfateb yn y tocyn. Heb hynny ni all y darllenydd nesaf wybod pa olygiad a newidiodd y canlyniad. Mae rhif rheol heb stamp amser yn dal yn amwys.

Gwiriwch y llwybr ag un cipiad cyfyngedig

Mae un cais diniwed ac un cipiad cul yn setlo’r cwestiwn sy’n dal i ailagor. Hidlwch ar y porthladd cyrchfan a’r gwesteiwr dan ymchwil, cyfyngwch y nifer o becynnau, a stopiwch y cipiad cyn gynted ag y bydd’r cais wedi gorffen.

tcpdump -ni any 'tcp dst port 9443' -c 20

Cymharwch dri gwerth ochr yn ochr: y ffynhonnell yn y cipiad, y ffynhonnell y mae’r rheol gyfatebol yn ei henwi, a’r gwrthodiad y gwnaeth yr ap ei gofnodi. Gall y rhain i gyd fod yn wahanol, a dim ond yr un cyntaf sy’n egluro gostyngiad a benderfynwyd gan reol IP. Mae pennawd HTTP a anfonwyd ymlaen yn perthyn i haen’r procsi, felly nid yw cofnod sy’n dyfynnu’r pennawd hwnnw’n disgrifio’r ffynhonnell a werthusodd y wal dân.

Darllenwch drefn y gadwyn, nid yn unig y rheol

Mae’r cyfeirlyfr iptables yn dogfennu trawstoriad trefnus, a dyna pam nad yw caniatâd sy’n eistedd o dan wrthodiad terfynol cyfatebol byth yn achub y pecyn. Gall cysylltiad a dderbyniwyd yn gynt ymddwyn yn wahanol i un newydd, felly nid yw llwyddiant hen yn dweud dim am y rheol newydd. Dewch o hyd i’r gwrthodiad neu’r gostyngiad uwchben eich caniatâd cyn tybio bod y caniatâd yn anghywir. Mae cyfrifwyr fesul rheol hefyd yn dweud pa reol a welodd y pecyn.

Mae dileu rheol i weld beth sy’n digwydd yn newid, nid yn arsylwi. Darllenwch y cyfrifwyr, nodwch rif y rheol, a chadwch y polisi gwreiddiol yn y cofnod newid. Os yw prawf yn anochel, rhedwch ef ar gopi o’r gadwyn.

Newidiwch y rheol y mae ei pherchennog yn ei rheoli

Diweddarwch yn unig y polisi ffynhonnell a gwasanaeth a fwriadwyd, trwy bwy bynnag sy’n berchen arno. Gall allanfa gyfieithiedig a rennir gynrychioli llawer o ddefnyddwyr ar unwaith, felly nid yw caniatáu’r cyfeiriad hwnnw’n dilysu unrhyw un, ac mae caniatâd yr ap y tu ôl iddo’n aros lle maent.

Pan fydd y cyfeiriad yn dal i symud, yr ateb parhaol yw allanfa sefydlog neu sianel ddilys, nid rhestr eithriadau hirach. Cofnodwch y ffynhonnell a welwyd, y porthladd cyrchfan a rhif y rheol.