Estääkö palomuuri VPN:n? Vaiheittainen tarkistus

Yksi VPN-aikakatkaisu todistaa, ettei käyttökelpoista vastausta saapunut, eikä todista mitään syystä. Profiili voi nimetä väärän portin, palvelin voi olla alhaalla tai pyyntö voi saapua ilman toimivaa paluupolkua. Jokainen näistä jättää erilaisen jäljen, ja jälki kertoo, mitä sääntöä pitää koskea. Käy alla olevat neljä vaihetta järjestyksessä läpi. Pysähdy heti, kun yksi niistä selittää oireen.

Vaihe 1: vahvista palvelin ja siirtotapa

Lue palvelimen nimi, siirtotapa ja portti operaattorin nykyisestä profiilista, älä paikallisesta muutoksesta. Kannettavalla muutettu portti ei voi luoda kuuntelijaa julkiselle palvelimelle, ja tämä ristiriita tuottaa saman aikakatkaisun kuin esto. Jos profiili tarjoaa tuetun vaihtoehtoisen siirtotavan, merkitse se varavaihtoehdoksi äläkä korjaukseksi. Selvitä nimi ja vertaa vastausta osoitteeseen, jonka operaattori on julkaissut.

Vanhentunut DNS-tietue lähettää asiakkaan isäntään, joka ei koskaan vastannut. Se on toinen vika, joka jäljittelee suodatinta, ja sen poissulkeminen maksaa yhden kyselyn.

Kirjoita molemmat arvot tikettiin. Jokainen myöhempi vertailu käyttää niitä, ja tiketti ilman niitä aloittaa tutkinnan alusta.

Vaihe 2: todista polku yhdellä kontrolloidulla vertailulla

Pidä laite ja profiili muuttumattomina ja kokeile toista luotettua käyttöverkkoa. Jos tunneli nousee siellä, ero on alkuperäisessä polussa tai sen käytännössä. Jos toinen hyväksytty laite toimii alkuperäisessä verkossa, ero on ensimmäisessä laitteessa. Toinen näistä kahdesta vertailusta on lähes aina ratkaiseva.

Suorita ensin mikä tahansa laillinen verkkokirjautuminen, koska captive-portaali näyttää estolta, kunnes se on valmis.

Testaa porttia, jota todella käytät, ja käsittele TCP-tulosta tietona vain TCP:stä.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Onnistunut TCP-kättely portissa 443 kertoo, että siellä vastasi kuuntelija. Se ei kerro mitään UDP-kuuntelijasta portissa 51820 eikä siitä, saatiinko neuvottelu päätökseen.

Vaihe 3: lue turvatapahtumat vian hetkeltä

Palomuurin tapahtumat ovat vahvin saatavilla oleva todiste, ja niihin liittyy varaus, joka kannattaa sanoa ensin. Lokitus on pois päältä monissa oletusprofiileissa, joten tarkista, kirjaako kyseinen profiili pudotuksia, ennen kuin luet tyhjän lokin todisteeksi viattomuudesta. Kun lokitus on päällä, tapahtuma nimeää säännön, suunnan ja osoitteet, eli juuri sen, mitä säännön muutos tarvitsee. Sovellussäännöt ja porttisäännöt ovat erillisiä objekteja, ja hallittu käytäntö voi ohittaa paikallisen asetuksen. Vahvista, mitä asiakasta ja mitä palvelua sääntö todella kattaa.

Kerää profiilin tila ja viimeisimmät tapahtumat koneesta, joka epäonnistui, ei naapurihostista.

Vertaa tapahtuman aikaa testiyrityksesi aikaan, sillä täsmäävä säännön nimi eri aikaleimalla on sattumaa.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Kysy palvelimella, jota hallitset, pääsikö pyyntö ylipäätään kuuntelijalle. Vastaamatta saapuva paketti on edelleenlähetyksen tai paluureitin ongelma. Pyyntö, joka ei koskaan ilmesty, on suodatuksen tai osoitteistuksen ongelma.

Vaihe 4: testaa edelleenlähetys, kun tunneli on ylhäällä

Palomuuri voi sallia istunnon ja silti kieltää kaiken, mihin istunto haluaa päästä. Edelleenlähetyksen sysctl-arvot, NAT-säännöt ja paluureitit ovat kaikki todennuksen jälkeen, eikä laaja poikkeus VPN-portille korjaa yhtäkään niistä. Testaa yksi sisäinen kohde ja yksi internet-kohde erikseen, koska ne yleensä epäonnistuvat eri syistä. Jos sisäiset nimet epäonnistuvat mutta osoitteet toimivat, katso työnnettyä DNS:ää ennen mitään sääntöä.

Suorita alla olevat kolme tarkistusta palvelimella, kun asiakas on yhdistettynä ja yrittää epäonnistuvaa pyyntöä.

Tunnelin rajapinnan laskurit ovat se olennainen, koska ne näyttävät, tulivatko paketit sisään ja lähtikö mitään ulos.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Kun paketteja saapuu tunneliin eikä mitään lähde kohti kohdetta, epäilty on edelleenlähetys tai NAT. Kun mitään ei saavu, istunto on ylhäällä mutta asiakas ei lähetä, ja paikka johon katsoa on asiakkaan reititystaulu.

Tarkista korjaus ja poista se, mikä ei auttanut

Toista hyväksytyn korjauksen jälkeen täsmälleen se testi, joka epäonnistui, ja kirjaa tulos samaa profiilia ja laitetta vasten. Poista sitten jokainen väliaikainen poikkeus, joka ei muuttanut tulosta, koska käyttämättömät poikkeukset kertyvät ja jokainen on päätös, jota kukaan ei muista tehneensä. Pidä jäljelle jäävä kapeana: yksi kohde, yksi portti, yksi suunta, yksi omistaja.

Suorita samat kolme komentoa uudelleen ja vertaa niitä tulosteisiin, jotka tallensit ennen muutosta.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Kun vertailuverkko toimii, alkuperäinen verkko epäonnistuu edelleen ja tapahtumat pysyvät tyhjinä, jäljellä oleva epäilty on polku, ei isäntä. Anna se verkon omistajalle täsmällisenä väitteenä, molemmat vertailutulokset liitettyinä. Se on parempi paikka pysähtyä kuin poistettu palomuuriprofiili.