Kas tulemüür blokeerib VPN-i? Samm-sammuline kontroll

Üks VPN-i aegumine tõestab, et kasutatavat vastust ei saabunud, ja ei tõesta midagi selle kohta, miks. Profiil võib näidata vale porti, server võib olla maas või päring võib saabuda ilma toimiva tagasiteeta. Igaüks neist jätab erineva jälje ja jälg on see, mis ütleb, millist reeglit puutuda. Käige allolevad neli etappi järjekorras läbi. Peatuge niipea, kui üks neist sümptomi selgitab.

Samm 1: kinnitage server ja transport

Lugege serveri nimi, transport ja port operaatori praegusest profiilist, mitte kohalikust muudatusest. Sülearvutis muudetud port ei saa avalikus serveris kuulajat luua ja see lahknevus tekitab blokeeringuga identse aegumise. Kui profiil pakub toetatud alternatiivset transporti, märkige see tagavaraks, mitte lahenduseks. Lahendage nimi ja võrrelge vastust aadressiga, mille operaator avaldas.

Aegunud DNS-kirje saadab kliendi hosti, mis ei vastanud kunagi. See on veel üks rike, mis jäljendab filtrit, ja selle välistamine maksab ühe päringu.

Kirjutage mõlemad väärtused piletisse. Iga hilisem võrdlus kasutab neid ja pilet ilma nendeta alustab uurimist otsast.

Samm 2: tõestage tee ühe kontrollitud võrdlusega

Jätke seade ja profiil muutmata ning proovige teist usaldusväärset juurdepääsuvõrku. Kui tunnel tõuseb seal, on erinevus algne tee või selle poliitika. Kui teine heakskiidetud seade töötab algses võrgus, on erinevus esimene seade. Üks neist kahest võrdlusest on peaaegu alati otsustav.

Lõpetage esmalt iga seaduslik võrgu sisselogimine, sest captive portaal näeb blokeeringuna välja, kuni see on lõpetatud.

Testige porti, mida te tegelikult kasutate, ja käsitlege TCP tulemust teabena ainult TCP kohta.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Edukas TCP käepigistus pordil 443 ütleb, et seal vastas kuulaja. See ei ütle midagi UDP kuulaja kohta pordil 51820 ega selle kohta, kas läbirääkimine lõpetati.

Samm 3: lugege turvasündmusi tõrke hetke kohta

Tulemüüri sündmused on tugevaim saadaolev tõend ja neil on hoiatus, mida tasub kõigepealt öelda. Paljudes vaikeprofiilides on logimine välja lülitatud, seega kontrollige, kas asjaomane profiil kirjutab langetusi, enne kui loete tühja logi süütuse tõendina. Kui logimine on sees, nimetab sündmus reegli, suuna ja aadressid, mis on täpselt see, mida reegli muutmine vajab. Rakendusreeglid ja pordireeglid on eraldi objektid ning hallatav poliitika võib kohaliku seade üle kirjutada. Kinnitage, millist klienti ja millist teenust reegel tegelikult katab.

Koguge profiili olek ja viimased sündmused masinast, mis ebaõnnestus, mitte naaberhostist.

Võrrelge sündmuse aega oma testikatse ajaga, sest sobiv reegli nimi teistsuguse ajatempliga on juhus.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Serveris, mida te haldadate, küsige, kas päring jõudis üldse kuulajani. Vastuseta saabuv pakett on edasisaatmise või tagasitee probleem. Päring, mis ei ilmu kunagi, on filtreerimise või adresseerimise probleem.

Samm 4: testige edasisaatmist pärast tunneli tõusmist

Tulemüür võib sessiooni lubada ja siiski keelata kõik, kuhu sessioon jõuda tahab. Edasisaatmise sysctl-id, NAT-reeglid ja tagasiteed on kõik pärast autentimist ja lai erand VPN-pordi jaoks ei paranda neist ühtegi. Testige eraldi üht sisemist sihtkohta ja üht interneti sihtkohta, sest need ebaõnnestuvad tavaliselt erinevatel põhjustel. Kui sisemised nimed ebaõnnestuvad, aga aadressid töötavad, vaadake lükatud DNS-i enne mis tahes reeglit.

Käivitage kolm allolevat kontrolli serveris, kui klient on ühendatud ja üritab ebaõnnestuvat päringut.

Tunneli liidese loendurid on asja mõte, sest need näitavad, kas paketid sisenesid ja kas midagi väljus.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Kui paketid saabuvad tunnelisse ja midagi ei välju sihtkoha suunas, on kahtlusalune edasisaatmine või NAT. Kui midagi ei saabu, on sessioon üleval, aga klient ei saada, ja koht, kuhu vaadata, on kliendi marsruuditabel.

Kontrollige parandust ja eemaldage see, mis ei aidanud

Pärast heakskiidetud parandust korrake täpselt seda testi, mis ebaõnnestus, ja kirjutage tulemus sama profiili ja seadme juurde. Seejärel eemaldage iga ajutine erand, mis tulemust ei muutnud, sest kasutud erandid kuhjuvad ja igaüks on otsus, mida keegi ei mäleta. Hoidke järelejääv kitsas: üks sihtkoht, üks port, üks suund, üks omanik.

Käivitage samad kolm käsku uuesti ja võrrelge neid väljunditega, mille salvestasite enne muudatust.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Kui võrdlusvõrk töötab, algne võrk ikka ebaõnnestub ja sündmused jäävad tühjaks, on järelejäänud kahtlusalune tee, mitte host. Andke see võrgu omanikule konkreetse väitena, mõlemad võrdlustulemused lisatud. See on parem koht peatuda kui välja lülitatud tulemüüri profiil.