Lisad VPN-aadressi lubatud loendisse ja ikka blokeeritud? Jälgi seda

VPN-rakenduse näidatava aadressi lubatud loendisse lisamine parandab blokeeritud porti harva, ja pakett selgitab, miks. Tulemüür ei eira sinu reeglit; see hindab lähteaadressi, mida kliendi ekraanil miski ei näita. Kuni sihtkoht seda väärtust ei teata, on iga reeglimuudatus oletus.

Alusta päringust, mis teenuseni jõuab. Tunneliaadress, väljumisaadress ja mis tahes teisendus nende vahel jäävad hüpoteesideks, kuni sihtkoht ühe neist kinnitab.

Rakenduses näidatav aadress ei ole see, mis saabub

VPN-ühendus kannab vähemalt nelja aadressi, mida tasub eraldi nimetada: serveri lõpp-punkt, sinu kliendile määratud sisemine tunneliaadress, kohalik Wi-Fi või Etherneti aadress ja avalik aadress, mida veebisait näeb pärast seda, kui liiklus on teenusepakkujalt lahkunud. Kliendi aken võib näidata ainult teist. Nimeta kõik neli enne, kui nimetad reegli. Jaotatud tunneliga võivad avaliku sihtkoha päringud tunnelist täielikult mööda minna, nii et ebaõnnestunud seanss ei ole see, mille kasutaja arvab alustanud olevat.

Otsusta, millist neist neljast peaks reegel lubama, ja seejärel kontrolli seda teiselt poolt. Kui nõue on tõesti kontoriaadress, on tingimuseks marsruut pluss selle saidi väljumiskorraldus, ja silti Office VPN kandev ühendus ei anna kumbagi iseenesest.

Jälgi üht päringut kuni selle filtreerimispiirini

Kinnita sihtaadress ja port, mida klient kasutab, seejärel kontrolli, et see sihtkoht järgib rada, mida oletad. Avaldatud konteineri port, pöördproxy või pordiedastus võivad otsuse viia hostile, mida sa kunagi ei muutnud. Iga selline hüpe võib kanda oma poliitikat. Raja enne kindlakstegemine säästab sind reegli parandamisest, milleni ükski pakett ei jõua.

Volitatud Linuxi hostis loe enne muutmist kehtivaid reegleid järjekorras. Edastatud ja konteineriteenused hüppavad sageli omaenda ahelasse, seega kontrolli nii hüppe sihtmärki kui ka lõplikku otsust.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Märgi piletisse vastava reegli number. Ilma selleta ei saa järgmine lugeja teada, milline muudatus tulemust muutis. Ajatemplita reeglinumber on endiselt mitmetähenduslik.

Kontrolli rada ühe piiratud püüdmisega

Üks kahjutu päring ja üks kitsas püüdmine lahendavad küsimuse, mis üha uuesti kerkib. Filtreeri sihtpordi ja uuritava hosti järgi, piira pakettide arvu ja peata püüdmine niipea, kui päring on lõppenud.

tcpdump -ni any 'tcp dst port 9443' -c 20

Võrdle kolme väärtust kõrvuti: püüdmises olev allikas, vastava reegli nimetatud allikas ja rakenduse logitud keeldumine. Need võivad kõik erineda, ja ainult esimene selgitab IP-reegliga otsustatud mahaviset. Edastatud HTTP-päis kuulub proxy kihile, seega seda päist tsiteeriv logi ei kirjelda allikat, mida tulemüür hindas.

Loe ahela järjekorda, mitte ainult reeglit

iptables viide dokumenteerib järjestatud läbimise, mistõttu vastava lõpliku keeldumise all olev luba ei päästa paketti kunagi. Varem vastu võetud ühendus võib käituda ka teisiti kui uus, nii et vana edu ei ütle uue reegli kohta midagi. Leia keeldumine või mahavise oma loa kohal enne, kui eeldad, et luba on vale. Reeglipõhised loendurid ütlevad ka, milline reegel paketti nägi.

Reegli kustutamine, et näha, mis juhtub, on muudatus, mitte vaatlus. Loe loendureid, pane reegli number kirja ja hoia algne poliitika muudatuste logis. Kui test on vältimatu, käivita see ahela koopial.

Muuda reeglit, mida kontrollib selle omanik

Uuenda ainult kavandatud allika- ja teenusepoliitikat, selle kaudu, kellele see kuulub. Jagatud teisendatud väljumine võib esindada paljusid kasutajaid korraga, seega selle aadressi lubamine ei autendi kedagi, ja selle taga olevad rakendusload jäävad sinna, kus need on.

Kui aadress jätkab liikumist, on püsiv vastus stabiilne väljumine või autenditud kanal, mitte pikem erandite loend. Registreeri vaadeldud allikas, sihtport ja reegli number.