VPN ceangailte ach blocálann an balla dóiteáin fós: conas a fháil amach cé acu

Deir an cliant go bhfuil sé ceangailte, diúltaíonn an acmhainn fós, agus is é an gnáthchéad chéim eile rud éigin a chur as. Déanann an dá rialú sa abairt sin jabanna éagsúla: tógann an VPN cosán don trácht clúdaithe, agus socraíonn balla dóiteáin in aghaidh an naisc an féidir leis an trácht dul thar. Breathnaíonn tollán atá ag obair le beartas a dhiúltaíonn go beacht cosúil le tollán briste ó chathaoir an úsáideora, mar sin is é an tasc a fháil amach cén ciseal atá ag freagairt. Seo an t-ord a leanaim, leis an léamh a insíonn duit stop.

Deighil an cosán ón mbeartas

Tosaigh le cruth na teipe, mar is faisnéis in aisce é. Cruthaíonn titim phaicéid amuigh: déanann an cliant iarracht arís, ní thagann aon rud ar ais, agus crochann an t-ordú go dtí go dtugann sé suas. Cruthaíonn diúltú diúltú nó athshocrú: d'fhreagair rud éigin agus dúirt sé nach ea. Diúltaíonn seirbhís nach n-éisteann ar an óstach féin, gan aon bhall dóiteáin i gceist.

Cuireann na trí thoradh sin in iúl do chisil éagsúla. Ciallaíonn amuigh go bhfuil beartas éigin ag caitheamh amach go ciúin, nó nach bhfágann an cosán an meaisín riamh. Ciallaíonn diúltaithe gur shroich tú an t-óstach agus gur dhiúltaigh a chruach nó a bhalla dóiteáin áitiúil. Ciallaíonn ciúnas iomlán, agus comhéadan an tolláin suas gan aon chosán chuig an gceann scríbe, go bhfuil an cosán mícheart agus nach socróidh aon riail balla dóiteáin é.

Léigh an cosán in aon phas amháin

Deimhnigh go gclúdaíonn an tollán an ceann scríbe sula bhféachann tú ar aon riail amháin. Ní dhéanfaidh tollán scoilte nach n-iompraíonn ach fo-líonra na hoifige an t-iarratas a ródú chuig raon eile, agus ansin breathnaíonn an teip cosúil le blocáil balla dóiteáin nach ea:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Ainmníonn aschur an chosáin an comhéadan a bhfágfaidh an paicéad é agus an seoladh foinse a iompróidh sé. Más é an comhéadan sin do chárta líonra fisiceach seachas an tollán, tá an fhadhb sa ródú nó sna raonta ceadaithe den tollán, agus baineann sé le cumraíocht an VPN seachas leis an mballa dóiteáin.

Tá gaiste amháin a bhaineann go sonrach le VPN tuillte ag a sheiceáil féin. I WireGuard, is cosán agus scagaire cripteagrafach araon é AllowedIPs piara: caitear paicéad nach n-oireann a sheoladh foinse do shraith cheadaithe an phiara amach sula gcuirtear aon riail balla dóiteáin i gcomhairle. Mar sin is féidir le balla dóiteáin óstaigh atá go hiomlán ceart a bheith taobh thiar de thitim chiúin a fhéachann cosúil le beartas, agus is líne chumraíochta don eochair an leigheas, ní riail.

Léigh an beartas sa chiseal a fhreagraíonn

Nuair a bhíonn an cosán ceart, siúil an beartas ón óstaigh amach agus féach ar an aon chiseal amháin a mbíonn a chuntair ag gluaiseacht:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Freagraíonn an soicéad éisteachta ceist dhifriúil ó na rialacha. Mura n-éisteann aon rud ar an bport, diúltaíonn an t-eithne don nasc agus níl aon riail ionchuir ábhartha. Má tá an soicéad ann agus má théann an nasc ó chliant iargúlta in éag, tá titim ag tarlú áit éigin ar an gcosán, agus insíonn cuntair na rialacha duit an bhfuil sé ag tarlú anseo.

Cuir logáil ar siúl don phróifíl nó don slabhra a bhfuil amhras ort faoi, in ionad buille faoi thuairim ón taobh amuigh. Aithníonn aon titim amháin a thaifeadtar agus a ainmníonn an fhoinse, an ceann scríbe agus an port an ciseal agus an riail, agus cruthaíonn sé freisin gur shroich an paicéad, rud nach féidir le haon triail ó thaobh an chliaint a shuíomh.

Léigh cinneadh an gheata nuair a chríochnaíonn an tollán ansin

Ar gheata suíomh-go-suíomh nó rochtain iargúlta, fíoraíonn an VPN úsáideoir agus údaraíonn an beartas acmhainn, agus deontais ar leith iad sin. Ní bhíonn úsáideoir a ligtear isteach sa tollán ligthe isteach go huathoibríoch chuig gach óstach inmheánach, agus is minic a thagann an diúltú ó riail seolta amach cé go bhfuil an tollán féin sláintiúil. Tá an deighilt chéanna le feiceáil in IPsec, áit a bhfuil an beartas slándála a roghnaíonn trácht difriúil ón scagaire a ligeann isteach é, agus is ar an ábhar sin a dhoiciméadaítear an dá rud mar mheicníochtaí éagsúla in RFC 4301.

Seiceáil an cosán ar ais chomh cúramach leis an gcosán amach. Ní mór don scagadh stáit an freagra a fheiceáil, mar sin cruthaíonn ródú neamhshiméadrach tríd an tollán i dtreo amháin agus timpeall air sa treo eile titimí a bhreathnaíonn go randamach agus nach dtarlaíonn ach ó chliaint áirithe. Má shroicheann an trácht an geata agus má stopann sé, léigh an riail seolta agus an cosán ar ais le chéile sula leathnaíonn tú aon rud.

Is ag an ngeata freisin is féidir le riail NAT nó mascála an fhíorfhoinse a cheilt. Má fheiceann óstaigh inmheánacha seoladh an gheata in ionad an chliaint, ní bhuailfidh a gcuid riail balla dóiteáin óstaigh a cheaptar don linn chliaint riamh, agus baineann an leigheas leis an ngeata seachas le gach freastalaí.

Athraigh an ciseal is cúinge, ansin deimhnigh

Seas in aghaidh an deisithe fhairsing. Má chuirtear an balla dóiteáin óstaigh as, má chuirtear riail a cheadaíonn gach rud leis, nó má chuirtear gach comhéadan isteach i bpróifíl iontaofa, baintear an rialú a bhí ag déanamh a chuid oibre, agus maireann an t-athrú i ndiaidh an eachtra. Tá riail atá teoranta don raon foinse agus don port i gceist níos éasca le hathbhreithniú, níos éasca le baint, agus fágann sí fuílleach bheartas an mheaisín slán.

Deimhnigh leis an triail chéanna a theip, ón gcliant céanna, agus ansin uair amháin eile tar éis athcheangail, mar is féidir le riail a oireann sula n-athchaithtear an tollán stopadh d'oiriúint ina dhiaidh:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Sula ndúnfaidh tú é:

• Fágann an cosán chuig an gceann scríbe trí chomhéadan an tolláin, agus oireann an seoladh foinse don rud a bhfuiltear ag súil leis ón mbeartas.
• Tá rud éigin ag éisteacht ar an bport, agus cuirtear an diúltú nó an t-amuigh i leith riail ainmnithe seachas a bheith ag tuairimíocht.
• Seolann an geata ar aghaidh sa dá threo, agus feiceann an ceann scríbe an fhoinse ar scríobhadh do rialacha di.
• Níor cuireadh aon rialú as chun go n-éireodh leis an triail, agus ainmníonn an t-athrú a rinne tú aon raon foinse amháin agus aon phort amháin.