Βάλατε τη διεύθυνση VPN στη λίστα επιτρεπόμενων και ακόμη μπλοκάρεται; Ιχνηλατήστε την

Η προσθήκη στη λίστα επιτρεπόμενων της διεύθυνσης που εμφανίζει μια εφαρμογή VPN σπάνια διορθώνει μια αποκλεισμένη θύρα, και το πακέτο εξηγεί γιατί. Το τείχος προστασίας δεν αγνοεί τον κανόνα σας· αξιολογεί μια διεύθυνση πηγής που τίποτα στην οθόνη του πελάτη δεν εμφανίζει. Μέχρι ο προορισμός να αναφέρει αυτή την τιμή, κάθε αλλαγή κανόνα είναι εικασία.

Ξεκινήστε από το αίτημα που φτάνει στην υπηρεσία. Η διεύθυνση της σήραγγας, η διεύθυνση εξόδου και οποιαδήποτε μετάφραση ανάμεσά τους παραμένουν υποθέσεις μέχρι ο προορισμός να επιβεβαιώσει μία από αυτές.

Η διεύθυνση στην εφαρμογή δεν είναι αυτή που φτάνει

Μια σύνδεση VPN μεταφέρει τουλάχιστον τέσσερις διευθύνσεις που αξίζει να ονομαστούν χωριστά: το τελικό σημείο του διακομιστή, την εσωτερική διεύθυνση σήραγγας που έχει εκχωρηθεί στον πελάτη σας, την τοπική διεύθυνση Wi-Fi ή Ethernet και τη δημόσια διεύθυνση που βλέπει ένας ιστότοπος αφού η κίνηση φύγει από τον πάροχο. Ένα παράθυρο πελάτη μπορεί να εμφανίζει μόνο τη δεύτερη. Ονομάστε και τις τέσσερις πριν ονομάσετε έναν κανόνα. Με διαχωρισμένη σήραγγα, τα αιτήματα προς δημόσιο προορισμό μπορούν να παρακάμψουν εντελώς τη σήραγγα, οπότε η αποτυχημένη συνεδρία δεν είναι αυτή που ο χρήστης νομίζει ότι ξεκίνησε.

Αποφασίστε ποια από τις τέσσερις προορίζεται να επιτρέψει ο κανόνας και έπειτα επαληθεύστε την από την άλλη πλευρά. Αν η απαίτηση είναι πράγματι διεύθυνση γραφείου, η συνθήκη είναι η διαδρομή συν τη ρύθμιση εξόδου εκείνης της τοποθεσίας, και μια σύνδεση με ετικέτα Office VPN δεν παρέχει κανένα από τα δύο από μόνη της.

Ακολουθήστε ένα αίτημα ως τα όρια φιλτραρίσματός του

Επιβεβαιώστε τη διεύθυνση προορισμού και τη θύρα που χρησιμοποιεί ο πελάτης και έπειτα ελέγξτε ότι αυτός ο προορισμός ακολουθεί τη διαδρομή που υποθέτετε. Μια δημοσιευμένη θύρα κοντέινερ, ένας αντίστροφος διαμεσολαβητής ή μια προώθηση θύρας μπορούν να μεταφέρουν την απόφαση σε έναν κεντρικό υπολογιστή που δεν επεξεργαστήκατε ποτέ. Κάθε ένα από αυτά τα άλματα μπορεί να φέρει τη δική του πολιτική. Το να καθορίσετε πρώτα τη διαδρομή σάς γλιτώνει από τη διόρθωση ενός κανόνα που δεν φτάνει ποτέ κανένα πακέτο.

Σε έναν εξουσιοδοτημένο κεντρικό υπολογιστή Linux, διαβάστε τους ενεργούς κανόνες με σειρά πριν τους αλλάξετε. Οι προωθημένες υπηρεσίες και οι υπηρεσίες κοντέινερ συχνά πηδούν στη δική τους αλυσίδα, οπότε επιθεωρήστε τον στόχο του άλματος καθώς και την τελική ετυμηγορία.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Αναφέρετε τον αντίστοιχο αριθμό κανόνα στο δελτίο. Χωρίς αυτόν, ο επόμενος αναγνώστης δεν μπορεί να δει ποια αλλαγή άλλαξε το αποτέλεσμα. Ένας αριθμός κανόνα χωρίς χρονοσφραγίδα παραμένει ασαφής.

Επαληθεύστε τη διαδρομή με μία περιορισμένη καταγραφή

Ένα ακίνδυνο αίτημα και μία στενή καταγραφή επιλύουν το ερώτημα που επανέρχεται. Φιλτράρετε με βάση τη θύρα προορισμού και τον κεντρικό υπολογιστή υπό έρευνα, περιορίστε τον αριθμό πακέτων και σταματήστε την καταγραφή μόλις ολοκληρωθεί το αίτημα.

tcpdump -ni any 'tcp dst port 9443' -c 20

Συγκρίνετε τρεις τιμές δίπλα δίπλα: την πηγή στην καταγραφή, την πηγή που ονομάζει ο αντίστοιχος κανόνας και την απόρριψη που κατέγραψε η εφαρμογή. Όλες μπορεί να διαφέρουν, και μόνο η πρώτη εξηγεί μια πτώση που αποφάσισε κανόνας IP. Μια προωθημένη κεφαλίδα HTTP ανήκει στο επίπεδο του διαμεσολαβητή, οπότε ένα αρχείο καταγραφής που παραθέτει αυτή την κεφαλίδα δεν περιγράφει την πηγή που αξιολόγησε το τείχος προστασίας.

Διαβάστε τη σειρά της αλυσίδας, όχι μόνο τον κανόνα

Η αναφορά του iptables τεκμηριώνει τη διατεταγμένη διέλευση, γι’ αυτό μια αποδοχή που βρίσκεται κάτω από μια αντίστοιχη τελική απόρριψη δεν σώζει ποτέ το πακέτο. Μια σύνδεση που έγινε δεκτή νωρίτερα μπορεί επίσης να συμπεριφέρεται διαφορετικά από μια νέα, οπότε μια παλιά επιτυχία δεν λέει τίποτα για τον νέο κανόνα. Βρείτε την απόρριψη ή την πτώση πάνω από την αποδοχή σας πριν υποθέσετε ότι η αποδοχή είναι λάθος. Οι μετρητές ανά κανόνα σάς λένε επίσης ποιος κανόνας είδε το πακέτο.

Η διαγραφή ενός κανόνα για να δείτε τι συμβαίνει είναι αλλαγή, όχι παρατήρηση. Διαβάστε τους μετρητές, σημειώστε τον αριθμό κανόνα και κρατήστε την αρχική πολιτική στο αρχείο αλλαγών. Αν μια δοκιμή είναι αναπόφευκτη, εκτελέστε την σε ένα αντίγραφο της αλυσίδας.

Αλλάξτε τον κανόνα που ελέγχει ο ιδιοκτήτης του

Ενημερώστε μόνο την προβλεπόμενη πολιτική πηγής και υπηρεσίας, μέσω όποιου την κατέχει. Μια κοινόχρηστη μεταφρασμένη έξοδος μπορεί να αντιπροσωπεύει πολλούς χρήστες ταυτόχρονα, οπότε η επιτρεπόμενη εκείνη διεύθυνση δεν ταυτοποιεί κανέναν, και τα δικαιώματα εφαρμογής πίσω της μένουν εκεί που είναι.

Όταν η διεύθυνση συνεχίζει να μετακινείται, η διαρκής απάντηση είναι μια σταθερή έξοδος ή ένα αυθεντικοποιημένο κανάλι, όχι μια μακρύτερη λίστα εξαιρέσεων. Καταγράψτε την παρατηρούμενη πηγή, τη θύρα προορισμού και τον αριθμό κανόνα.