Μπλοκάρει το τείχος προστασίας το VPN; Έλεγχος βήμα βήμα

Ένα timeout VPN αποδεικνύει ότι δεν έφτασε καμία χρησιμοποιήσιμη απάντηση, και δεν αποδεικνύει τίποτα για το γιατί. Το προφίλ μπορεί να αναφέρει λάθος θύρα, ο διακομιστής μπορεί να είναι κάτω, ή το αίτημα μπορεί να φτάσει χωρίς λειτουργική διαδρομή επιστροφής. Καθένα από αυτά αφήνει διαφορετικό ίχνος, και το ίχνος είναι αυτό που σας λέει ποιον κανόνα να αγγίξετε. Δουλέψτε τα τέσσερα στάδια παρακάτω με σειρά. Σταματήστε μόλις ένα από αυτά εξηγήσει το σύμπτωμα.

Βήμα 1: επιβεβαιώστε τον διακομιστή και τη μεταφορά

Διαβάστε το όνομα διακομιστή, τη μεταφορά και τη θύρα από το τρέχον προφίλ του παρόχου και όχι από τοπική αλλαγή. Μια θύρα που άλλαξε στον φορητό σας δεν μπορεί να δημιουργήσει ακροατή σε δημόσιο διακομιστή, και αυτή η αναντιστοιχία παράγει timeout ίδιο με μπλοκάρισμα. Αν το προφίλ προσφέρει υποστηριζόμενη εναλλακτική μεταφορά, σημειώστε την ως εφεδρική και όχι ως λύση. Επιλύστε το όνομα και συγκρίνετε την απάντηση με τη διεύθυνση που δημοσίευσε ο πάροχος.

Μια παλιά εγγραφή DNS στέλνει τον πελάτη σε υπολογιστή που δεν απάντησε ποτέ. Αυτό είναι άλλο σφάλμα που μιμείται φίλτρο, και κοστίζει ένα ερώτημα για να αποκλειστεί.

Γράψτε και τις δύο τιμές στο δελτίο. Κάθε μεταγενέστερη σύγκριση τις χρησιμοποιεί, και ένα δελτίο χωρίς αυτές ξεκινά την έρευνα από την αρχή.

Βήμα 2: αποδείξτε τη διαδρομή με μία ελεγχόμενη σύγκριση

Κρατήστε τη συσκευή και το προφίλ αμετάβλητα και δοκιμάστε άλλο αξιόπιστο δίκτυο πρόσβασης. Αν η σήραγγα σηκωθεί εκεί, η διαφορά είναι η αρχική διαδρομή ή η πολιτική της. Αν μια δεύτερη εγκεκριμένη συσκευή λειτουργεί στο αρχικό δίκτυο, η διαφορά είναι η πρώτη συσκευή. Μία από τις δύο συγκρίσεις είναι σχεδόν πάντα καθοριστική.

Ολοκληρώστε πρώτα οποιαδήποτε νόμιμη σύνδεση δικτύου, γιατί μια captive πύλη μοιάζει με μπλοκάρισμα μέχρι να ολοκληρωθεί.

Δοκιμάστε τη θύρα που πραγματικά χρησιμοποιείτε, και αντιμετωπίστε ένα αποτέλεσμα TCP ως πληροφορία μόνο για TCP.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Μια επιτυχής χειραψία TCP στη θύρα 443 λέει ότι εκεί απάντησε ένας ακροατής. Δεν λέει τίποτα για ακροατή UDP στη θύρα 51820, ούτε αν ολοκληρώθηκε η διαπραγμάτευση.

Βήμα 3: διαβάστε τα συμβάντα ασφαλείας για τη στιγμή της αποτυχίας

Τα συμβάντα του τείχους προστασίας είναι τα ισχυρότερα διαθέσιμα στοιχεία, και φέρουν μια προειδοποίηση που αξίζει να ειπωθεί πρώτη. Η καταγραφή είναι απενεργοποιημένη σε πολλά προεπιλεγμένα προφίλ, οπότε ελέγξτε αν το σχετικό προφίλ καταγράφει απορρίψεις πριν διαβάσετε ένα κενό αρχείο ως απόδειξη αθωότητας. Όταν η καταγραφή είναι ενεργή, το συμβάν αναφέρει τον κανόνα, την κατεύθυνση και τις διευθύνσεις, που είναι ακριβώς ό,τι χρειάζεται μια αλλαγή κανόνα. Οι κανόνες εφαρμογών και οι κανόνες θυρών είναι ξεχωριστά αντικείμενα, και η διαχειριζόμενη πολιτική μπορεί να υπερισχύσει τοπικής ρύθμισης. Επιβεβαιώστε ποιον πελάτη και ποια υπηρεσία καλύπτει πραγματικά ένας κανόνας.

Συλλέξτε την κατάσταση του προφίλ και τα πρόσφατα συμβάντα από το μηχάνημα που απέτυχε, όχι από γειτονικό υπολογιστή.

Διαβάστε την ώρα του συμβάντος απέναντι στην ώρα της δοκιμής σας, γιατί ένα ταιριαστό όνομα κανόνα με διαφορετική χρονική σφραγίδα είναι σύμπτωση.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Σε διακομιστή που διαχειρίζεστε, ρωτήστε αν το αίτημα έφτασε καθόλου στον ακροατή. Ένα πακέτο που φτάνει χωρίς απάντηση είναι πρόβλημα προώθησης ή διαδρομής επιστροφής. Ένα αίτημα που δεν εμφανίζεται ποτέ είναι πρόβλημα φιλτραρίσματος ή διευθυνσιοδότησης.

Βήμα 4: δοκιμάστε την προώθηση αφού σηκωθεί η σήραγγα

Ένα τείχος προστασίας μπορεί να επιτρέψει τη συνεδρία και να αρνηθεί ό,τι η συνεδρία θέλει να φτάσει. Τα sysctl προώθησης, οι κανόνες NAT και οι διαδρομές επιστροφής βρίσκονται όλα μετά την αυθεντικοποίηση, και μια ευρεία εξαίρεση για τη θύρα VPN δεν διορθώνει κανένα από αυτά. Δοκιμάστε έναν εσωτερικό προορισμό και έναν προορισμό διαδικτύου χωριστά, γιατί συνήθως αποτυγχάνουν για διαφορετικούς λόγους. Αν τα εσωτερικά ονόματα αποτυγχάνουν αλλά οι διευθύνσεις δουλεύουν, κοιτάξτε το DNS που ωθήθηκε πριν από οποιονδήποτε κανόνα.

Εκτελέστε τους τρεις ελέγχους παρακάτω στον διακομιστή ενώ ένας πελάτης είναι συνδεδεμένος και επιχειρεί το αίτημα που αποτυγχάνει.

Οι μετρητές στη διεπαφή της σήραγγας είναι το ζητούμενο, γιατί δείχνουν αν μπήκαν πακέτα και αν βγήκε κάτι.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Όταν φτάνουν πακέτα στη σήραγγα και τίποτα δεν βγαίνει προς τον προορισμό, ύποπτη είναι η προώθηση ή το NAT. Όταν δεν φτάνει τίποτα, η συνεδρία είναι σηκωμένη αλλά ο πελάτης δεν στέλνει, και ο πίνακας δρομολόγησης του πελάτη είναι το σημείο να κοιτάξετε.

Ελέγξτε τη διόρθωση και αφαιρέστε ό,τι δεν βοήθησε

Μετά από εγκεκριμένη διόρθωση, επαναλάβετε ακριβώς τη δοκιμή που απέτυχε και καταγράψτε το αποτέλεσμα στο ίδιο προφίλ και συσκευή. Στη συνέχεια αφαιρέστε κάθε προσωρινή εξαίρεση που δεν άλλαξε το αποτέλεσμα, γιατί οι αχρησιμοποίητες εξαιρέσεις συσσωρεύονται και καθεμία είναι μια απόφαση που κανείς δεν θυμάται. Κρατήστε ό,τι απομένει στενό: έναν προορισμό, μία θύρα, μία κατεύθυνση, έναν υπεύθυνο.

Εκτελέστε ξανά τις ίδιες τρεις εντολές και συγκρίνετε τις με τις εξόδους που αποθηκεύσατε πριν από την αλλαγή.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Όταν το δίκτυο σύγκρισης λειτουργεί, το αρχικό δίκτυο εξακολουθεί να αποτυγχάνει και τα συμβάντα μένουν κενά, ο εναπομένων ύποπτος είναι η διαδρομή και όχι ο υπολογιστής. Παραδώστε το στον υπεύθυνο δικτύου ως συγκεκριμένη δήλωση, με τα δύο αποτελέσματα σύγκρισης συνημμένα. Αυτό είναι καλύτερο σημείο για να σταματήσετε από ένα απενεργοποιημένο προφίλ τείχους προστασίας.