Lisäsit VPN-osoitteen sallittujen luetteloon ja yhteys on yhä estetty? Jäljitä se

VPN-sovelluksen näyttämän osoitteen lisääminen sallittujen luetteloon korjaa harvoin estetyn portin, ja paketti selittää miksi. Palomuuri ei jätä sääntöäsi huomiotta; se arvioi lähdeosoitetta, jota mikään asiakkaan näytöllä ei näytä. Kunnes kohde raportoi tämän arvon, jokainen sääntömuutos on arvaus.

Aloita pyynnöstä, joka saapuu palveluun. Tunneliosoite, lähtöosoite ja mikä tahansa niiden välinen käännös pysyvät olettamuksina, kunnes kohde vahvistaa yhden niistä.

Sovelluksessa näkyvä osoite ei ole saapuva osoite

VPN-yhteys kuljettaa vähintään neljää osoitetta, jotka kannattaa nimetä erikseen: palvelimen päätepiste, asiakkaallesi annettu sisempi tunneliosoite, paikallinen Wi-Fi- tai Ethernet-osoite ja julkinen osoite, jonka verkkosivusto näkee, kun liikenne on poistunut palveluntarjoajalta. Asiakasikkuna voi näyttää vain toisen. Nimeä kaikki neljä ennen kuin nimeät säännön. Jaetulla tunnelilla julkiseen kohteeseen menevät pyynnöt voivat ohittaa tunnelin kokonaan, joten epäonnistuva istunto ei ole se, jonka käyttäjä luulee aloittaneensa.

Päätä, minkä näistä neljästä säännön on tarkoitus sallia, ja tarkista se sitten toiselta puolelta. Jos vaatimus on todella toimisto-osoite, ehto on reitti plus kyseisen sivuston lähtöjärjestely, eikä Office VPN -merkitty yhteys tarjoa kumpaakaan yksinään.

Jäljitä yksi pyyntö sen suodatusrajalle

Vahvista kohdeosoite ja portti, joita asiakas käyttää, ja tarkista sitten, että tämä kohde seuraa oletettua polkua. Julkaistu konttiportti, käänteinen välityspalvelin tai portinohjaus voivat siirtää päätöksen isäntään, jota et koskaan muokannut. Jokainen näistä hypyistä voi kantaa omaa käytäntöään. Polun selvittäminen ensin säästää sinut sellaisen säännön korjaamiselta, johon mikään paketti ei koskaan päädy.

Valtuutetulla Linux-isännällä lue voimassa olevat säännöt järjestyksessä ennen niiden muuttamista. Edelleenohjatut ja konttipalvelut hyppäävät usein omaan ketjuunsa, joten tarkastele sekä hypyn kohde että lopullinen tuomio.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Merkitse vastaava sääntönumero tikettiin. Ilman sitä seuraava lukija ei voi tietää, mikä muutos tuloksen muutti. Sääntönumero ilman aikaleimaa on edelleen monitulkintainen.

Vahvista polku yhdellä rajatulla sieppauksella

Yksi harmiton pyyntö ja yksi kapea sieppaus ratkaisevat kysymyksen, joka palaa yhä uudelleen. Suodata kohdeportin ja tutkittavan isännän mukaan, rajaa pakettien määrä ja lopeta sieppaus heti, kun pyyntö on valmis.

tcpdump -ni any 'tcp dst port 9443' -c 20

Vertaa kolmea arvoa rinnakkain: sieppauksen lähde, vastaavan säännön nimeämä lähde ja sovelluksen kirjaama hylkäys. Ne voivat kaikki erota, ja vain ensimmäinen selittää IP-säännön päättämän pudotuksen. Edelleenohjattu HTTP-otsake kuuluu välityspalvelinkerrokseen, joten sitä otsaketta siteeraava loki ei kuvaa lähdettä, jonka palomuuri arvioi.

Lue ketjun järjestys, älä vain sääntöä

iptables-viite dokumentoi järjestetyn läpikulun, minkä vuoksi vastaavan päättävän hylkäyksen alapuolella oleva sallinta ei koskaan pelasta pakettia. Aiemmin hyväksytty yhteys voi myös käyttäytyä toisin kuin uusi, joten vanha onnistuminen ei kerro uudesta säännöstä mitään. Etsi hylkäys tai pudotus sallintasi yläpuolelta ennen kuin oletat sallinnan olevan väärä. Sääntökohtaiset laskurit kertovat myös, mikä sääntö näki paketin.

Säännön poistaminen sen katsomiseksi, mitä tapahtuu, on muutos, ei havainto. Lue laskurit, kirjaa sääntönumero ja säilytä alkuperäinen käytäntö muutoslokiin. Jos testi on välttämätön, aja se ketjun kopiolla.

Muuta sääntöä, jota sen omistaja hallitsee

Päivitä vain aiottu lähde- ja palvelukäytäntö, sen kautta, jolle se kuuluu. Jaettu käännetty lähtö voi edustaa monia käyttäjiä kerralla, joten kyseisen osoitteen salliminen ei todista ketään, ja sen takana olevat sovellusoikeudet pysyvät paikoillaan.

Kun osoite jatkaa liikkumista, kestävä vastaus on vakaa lähtö tai todennettu kanava, ei pidempi poikkeusluettelo. Kirjaa havaittu lähde, kohdeportti ja sääntönumero.