It VPN-adres op ’e wite list en dochs blokkeare? Spoar it nei

It adres dat in VPN-app sjen lit op ’e wite list sette reparearret selden in blokkearre poarte, en it pakket ferklearret wêrom. De brânmuorre negearret jo regel net; hy beoardielet in boarneasres dat neat op it klantskerm sjen lit. Oant de bestimming dy wearde rapportearret, is elke regelwiziging in gissing.

Begjin by de oanfraach dy’t by de tsjinst oankomt. It tunneladres, it útgongsadres en elke oersetting dertusken bliuwe hypotezen oant de bestimming ien fan har befêstiget.

It adres yn ’e app is net datjinge dat oankomt

In VPN-ferbining draacht teminsten fjouwer adressen dy’t it wurdich binne om apart te neamen: it servereinpunt, it ynderlike tunneladres dat oan jo klant tawiisd is, it lokale Wi-Fi- of Ethernet-adres, en it iepenbiere adres dat in webside sjocht neidat ferkear de provider ferlitten hat. In klantfinster lit miskien allinnich it twadde sjen. Neam alle fjouwer foardat jo in regel neame. By splitstunnel kinne oanfragen nei in iepenbiere bestimming de tunnel hielendal oerslaan, sadat de mislearre sesje net dejinge is dy’t de brûker tinkt dat er begûn is.

Beslis hokker fan dizze fjouwer de regel tastean moat, en ferifiearje it dan fan ’e oare kant. As de eask echt in kantoaradres is, is de betingst de rûte plus de útgongsregeling fan dat plak, en in ferbining mei it label Office VPN leveret gjin fan beide op himsels.

Spoar ien oanfraach oant syn filtergrins

Befêstigje it bestimmingsadres en de poarte dy’t de klant brûkt, en kontrolearje dan dat dizze bestimming it paad folget dat jo oannimme. In publisearre kontenerpoarte, in omkearde proxy of in poartetrochferwizing kin de beslissing nei in host bringe dy’t jo nea bewurke hawwe. Elk fan dy sprangen kin syn eigen belied drage. It paad earst fêststelle besparret jo it reparearjen fan in regel dy’t gjin pakket ea berikt.

Op in autorisearre Linux-host, lês de libbene regels yn folchoarder foardat jo se feroarje. Trochstjoerde en kontenerstsjinsten springe faak yn har eigen keatling, dat besjoch it springdoel likegoed as it definitive oardiel.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Sitearje it oerienkommende regelnummer yn ’e kaart. Sûnder dat kin de folgjende lêzer net sjen hokker wiziging it resultaat feroare hat. In regelnummer sûnder tiidstimpel is noch altyd dûbelsinnich.

Ferifiearje it paad mei ien beheinde opname

Ien ûnskuldige oanfraach en ien smelle opname besljochtsje de fraach dy’t oanhâldend weromkomt. Filterje op ’e bestimmingspoarte en de host ûnder ûndersyk, behein it oantal pakketten, en stopje de opname sa gau as de oanfraach klear is.

tcpdump -ni any 'tcp dst port 9443' -c 20

Fergelykje trije wearden njonkeninoar: de boarne yn ’e opname, de boarne dy’t de oerienkommende regel neamt, en de ôfwizing dy’t de applikaasje logt hat. Dy kinne allegear ferskille, en allinnich de earste ferklearret in fal dy’t troch in IP-regel beslist is. In trochstjoerde HTTP-kop heart by de proxylaach, dat in log dy’t dy kop sitearret beskriuwt net de boarne dy’t de brânmuorre beoardiele hat.

Lês de keatlingoarder, net allinnich de regel

De iptables-referinsje dokumintearret oardere trochgong, en dêrom rêdt in tastiening ûnder in oerienkommende terminale ôfwizing it pakket nea. In earder akseptearre ferbining kin ek oars gedrage as in nije, dat in âld súkses seit neat oer de nije regel. Fyn de ôfwizing of de fal boppe jo tastiening foardat jo oannimme dat de tastiening ferkeard is. Tellers per regel fertelle jo ek hokker regel it pakket sjoen hat.

In regel wiskje om te sjen wat der bart is in feroaring, net in observaasje. Lês de tellers, notearje it regelnummer, en hâld it oarspronklike belied yn ’e feroaringslog. As in test net te mijen is, rin it dan op in kopy fan ’e keatling.

Feroarje de regel dy’t syn eigner kontrolearret

Wurkje allinnich it bedoelde boarne- en tsjinstbelied by, fia wa’t it ek besit. In dielde oersetten útgong kin foar in soad brûkers tagelyk stean, dat it tastean fan dat adres ferifiearret nimmen, en de applikaasjerjochten dêrefter bliuwe wêr’t se binne.

As it adres oanhâldend beweecht, is it duorsume antwurd in stabile útgong of in autentisearre kanaal, net in langere útsûnderingslist. Notearje de waarnommen boarne, de bestimmingspoarte en it regelnummer.