Segurtasun-etengailuak trafikoa blokeatzen jarraitzen du VPN-a deskonektatu ondoren

Tunela desagertu da, sareko ikonoa normala dirudi eta ezer ez da kargatzen. VPN-a deskonektatu duzu, edo desinstalatu, edo berrabiarazi, eta erorketa batean babestu behar zintuen blokeoa oraindik zutik dago. Bezeroaren leihoak ezin du azaldu, ez bezeroa delako blokeatzen zaituena: erabakia zure izenean idatzi zen kernelean, eta ez zen ezer geratu hura kentzeko. Windowsen egoera hori Windows Filtering Platform-en dago; Linuxen iptables edo nftables-eko arau multzo bat da, askotan abioan berriz erreproduzitzen den snapshot batekin. Jarraian erabiltzen dudan ordena dator: irakurri egoera, ezabatu hutsegitea azaltzen duen objekturik estuena, eta gero aurkitu etengabe berriz jartzen duen edozer.

Segurtasun-etengailua kernelaren egoera da, ez ezarpen bat

Mahaigaineko bezeroek blokeoa iragazkiak gehituta gauzatzen dute, tunelaren kanpoko trafikoa ukatzen dutenak. Windowsen WFP iragazkiak dira konexio-birbideratze eta garraio geruzetan, eta horietako batzuk iraunkorrak dira: Base Filtering Engine-ren politika biltegian erregistratzen dira eta makina abiaraztean leheneratzen dira, edozein VPN software exekutatu aurretik. Bezeroak desberdinak dira garbiketa egiteko unean. Batzuek iragazkiak deskonektatzean kentzen dituzte, beste batzuek irteera garbian soilik, eta beste batzuek segurtasun-etengailua lehenengo itzaltzen denean soilik. Desinstalatu blokeoa aktiboa den bitartean, edo hil prozesua, eta iragazkiak geratzen dira.

Linuxen baliokidea irteera-bidean drop edo reject arau bat da, batzuetan birbidaltze arau bat, batzuetan aldaturiko kate-politika bat. Arau horiek gehitu zituzten prozesua baino gehiago irauten dute kernelaren egoera direlako: hil bezeroa, eragin huts egitea edo moztu korrontea, eta kerneleak paketeak botatzen jarraitzen du, atzera botatzeko ezer geratzen ez delarik. Iraunkortasun pakete batek bigarren iraunkortasun geruza gehitzen du uneko arau multzoaren snapshot bat hartuz eta abioan leheneratuz, hurrengo hasiera blokeoa jada instalatuta has dadin.

Irakurri WFP egoera ezer ezabatu aurretik

Windowsek behar dituzun tresnak dakartza. Exekutatu igotako komando-leiho bat eta bota plataformaren egoera; isuriak wfpstate.xml gisa amaitzen du lan-direktorioan.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

Bilatu XMLan joandako hornitzailearen izena, Block ekintza bat eta geruza. Konexio-birbideratze eta garraio geruzetako iragazkiak dira trafiko arrunta hausten dutenak; harrera-onarpen geruzako iragazki bat normalean ez da zure arrazoia. Base Filtering Engine batere exekutatzen ez bada, bilatu beste nonbait, ezerk ezin baititu iragazki horiek betearazi.

Egiaztatu suebakiaren ohiko ikuspegia ere, jende gehienak bietako bat baino ez baitu aztertzen:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Profil integratuak aktibatuta daudenean eta huts egiten duen trafikoarekin bat datorren araurik ez dagoenean, blokeoa hirugarren hornitzaile batetik dator, ez Windows suebakitik. Bereizketa horrek erabakitzen du zein tresna erabiliko duzun konponketarako.

Irakurri Linux arauak ezabatuko duzun sintaxian

iptables -S arauak gehitzeko erabiltzen den forma berean inprimatzen ditu, eta horrek irteera zuzenean berrerabilgarri egiten du ezabaketa baterako. iptables -L -v -n pakete-kontagailuak gehitzen ditu, eta kontagailu horiek esaten dute arau bat zure eskaera hutsegiteekin benetan bat datorren edo katean besterik ez dagoen.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

Irakurri kate-politikak, ez bakarrik arauak: -P OUTPUT DROP trafikoa blokeatzen du araurik bat ez datorrenean ere. Aztertu IPv6 bereizita, bi familiak instalatzen dituen bezero batek IPv6 blokeoa tokian utz baitezake IPv4 arauak desagertu ondoren, eta sintomak aplikazio batek nahiago duen familiaren araberakoa izango da orduan. nftables erabiltzen den lekuetan, exekutatu nft list ruleset ere; bi tresnek bateragarritasun geruza baten bidez elkarrekin bizi dira, eta zerrenda batek ez du nahitaez pakete bat bota dezakeen arau guztiak erakusten.

Ezabatu hutsegitea azaltzen duen objekturik estuena

Windowsen lehen urratsa oraindik hornitzailearen beraren kentze-bidea da: exekutatu instalatzailea berriro eta erabili konponketa edo desinstalazioa, edo exekutatu garbiketa tresna hornitzaileak bat argitaratzen badu. Geratzen diren zerbitzuak eta programatutako zereginak ohikoak dira, eta hasieran bezeroa abiarazten duen zeregin batek bere iragazkiak berriz instalatzen ditu hurrengo abioan. Bezeroaren erregistro-giltza irakurtzean huts egiten duen desinstalazioak esan nahi du normalean zerbitzu edo zeregin batek oraindik eusten diola, ez erregistroa hondatuta dagoenik.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

Iragazki iraunkorrak azken baliabidea dira. HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter azpian bizi dira, balio bat iragazki bakoitzeko GUID giltzaz. Esportatu giltza lehenik, idatzi kentzen dituzun GUIDak, ezabatu joandako bezeroari dagozkion balioak soilik, eta gero berrabiarazi motorrak bere egoera berreraiki dezan. Ez ezabatu giltza osoa eta ez desgaitu Base Filtering Engine: Windows suebakiak eta Defenderrek horren mende daude, eta etenaldi bat okerrago batekin trukatuko zenuke.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

Linuxen, hartu iptables -S-k inprimatzen duen lerroa eta ordeztu -A -D-rekin. Identifikatu duzun arau bakarra ezabatzea kate bat hustea baino hobea da, zure politikak bere horretan jarraitzen baitu.

sudo iptables -D OUTPUT -p udp -j REJECT

Drop-a erabiltzaileak definitutako kate batean bizi bada, ezabatu lehenik kate horretarako jauzia eta gero kendu katea -X-ekin. Kate-politika ACCEPT ezartzeak drop arauak oraindik badaudenean politika-erabakira iristen diren paketeei soilik laguntzen die. Taula guztiak hustea azken baliabidea da: beste arrazoi batzuengatik gehitutako arauak ere kentzen ditu, eta ufw aktibatuta dagoela zerbitzuak jada existitzen ez diren kateen jabe dela sinets dezan uzten du.

Aurkitu berriz jartzen duen jabea

Berehalako konponketaren ondoren, bilatu egoera leheneratuko lukeen edozer. Linuxen, egiaztatu iraunkortasun unitate bat gaituta dagoen, bezeroak saioa hastean suebakia leheneratzeko ezarpena duen eta /etc azpian gordetako arau-fitxategiren bat dagoen. Windowsen, egiaztatu berriro abio-sarrerak, zerbitzuak eta programatutako zereginak, gero berrabiarazi eta irakurri berriro egoera lehengo komando berberekin.

Blokeoa itzultzen bada, ezabaketak ez zuen konpondu; jabeak bai. Idatzi zein bezero edo zerbitzuk instalatzen duen eta desgaitu eginbidea bertan, deskonexio bakoitzaren ondoren suebaki geruzan borrokatu ordez.

Egiaztatu benetako trafikoarekin, ping bakar batekin ez

Probatu izen-kontsulta bat, TCP konexio bat eta nabigatzaile saio berri bat, gero berrabiarazi eta errepikatu hiru egiaztapen berberak. HTTPS huts egiten duen bitartean funtzionatzen duen ping batek garraio geruzako iragazki bat adierazten du, ez sarea, eta berrabiarazi ondoren soilik berriro agertzen den blokeo batek oraindik aurkitu ez duzun jabe bat adierazten du.

Gorde frogak: esportatutako BFE giltza edo aldaketaren aurretik harrapatutako iptables -S irteera. Konpondutzat eman aurretik, egiaztatu objektua zein geruzatik kendu duzun, berriz instalatu dezakeen jabea, berrabiarazte garbi baten ondorengo egoera eta nabigazio arruntak VPN prozesurik gabe funtzionatzen duela. iptables(8) eskuliburuaren orriak ezabaketa eta politika sintaxi zehatza du garbiketa script bidez egiten baduzu.