શું ફાયરવોલ VPN અવરોધે છે? તબક્કાવાર તપાસ

એક VPN ટાઇમઆઉટ સાબિત કરે છે કે કોઈ ઉપયોગી જવાબ આવ્યો નથી, અને કારણ વિશે કંઈ સાબિત કરતું નથી. પ્રોફાઇલ ખોટો પોર્ટ બતાવી શકે, સર્વર બંધ હોઈ શકે, અથવા વિનંતી કામ કરતા પરત માર્ગ વિના આવી શકે. આમાંનું દરેક અલગ નિશાન છોડે છે, અને તે નિશાન જ કહે છે કે કયો નિયમ સ્પર્શવો. નીચેના ચાર તબક્કા ક્રમમાં પૂરા કરો. તેમાંથી એક પણ લક્ષણ સમજાવે તરત જ અટકો.

તબક્કો 1: સર્વર અને ટ્રાન્સપોર્ટ ખાતરી કરો

સર્વરનું નામ, ટ્રાન્સપોર્ટ અને પોર્ટ ઓપરેટરની વર્તમાન પ્રોફાઇલમાંથી વાંચો, સ્થાનિક ફેરફારમાંથી નહીં. તમારા લેપટોપ પર બદલાયેલો પોર્ટ જાહેર સર્વર પર શ્રોતા બનાવી શકતો નથી, અને તે અસંગતિ અવરોધ જેવો જ ટાઇમઆઉટ આપે છે. જો પ્રોફાઇલ સમર્થિત વૈકલ્પિક ટ્રાન્સપોર્ટ આપે, તો તેને ઉકેલ નહીં પણ વૈકલ્પિક વિકલ્પ તરીકે નોંધો. નામ રિઝોલ્વ કરો અને જવાબને ઓપરેટરે પ્રકાશિત કરેલા સરનામા સાથે સરખાવો.

જૂનું DNS રેકોર્ડ ક્લાયન્ટને એવા હોસ્ટ પર મોકલે છે જેણે કદી જવાબ આપ્યો નથી. તે ફિલ્ટરની નકલ કરતી બીજી ખામી છે, અને તેને બાદ કરવા એક જ ક્વેરી પૂરતી છે.

બંને મૂલ્યો ટિકિટમાં લખો. પછીની દરેક સરખામણી તેને વાપરે છે, અને તેમના વિના ટિકિટ તપાસ ફરી શરૂ કરે છે.

તબક્કો 2: એક નિયંત્રિત સરખામણીથી માર્ગ સાબિત કરો

ઉપકરણ અને પ્રોફાઇલ અપરિવર્તિત રાખો અને બીજું વિશ્વસનીય એક્સેસ નેટવર્ક અજમાવો. ત્યાં ટનલ ઉપર આવે તો ફરક મૂળ માર્ગ અથવા તેની નીતિ છે. મૂળ નેટવર્ક પર બીજું મંજૂર ઉપકરણ કામ કરે તો ફરક પ્રથમ ઉપકરણ છે. આ બેમાંથી એક સરખામણી લગભગ હંમેશા નિર્ણાયક હોય છે.

પહેલાં કોઈપણ કાયદેસર નેટવર્ક સાઇન-ઇન પૂરું કરો, કારણ કે કેપ્ટિવ પોર્ટલ પૂરું ન થાય ત્યાં સુધી અવરોધ જેવું લાગે છે.

તમે ખરેખર વાપરો છો તે પોર્ટ ચકાસો, અને TCP પરિણામને ફક્ત TCP વિશેની માહિતી ગણો.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

પોર્ટ 443 પર સફળ TCP હેન્ડશેક કહે છે કે ત્યાં શ્રોતાએ જવાબ આપ્યો. તે 51820 પરના UDP શ્રોતા વિશે કંઈ કહેતું નથી, કે વાટાઘાટ પૂરી થઈ કે નહીં તે પણ નહીં.

તબક્કો 3: નિષ્ફળતાની ક્ષણ માટે સુરક્ષા ઘટનાઓ વાંચો

ફાયરવોલ ઘટનાઓ ઉપલબ્ધ સૌથી મજબૂત પુરાવા છે, અને તેમની સાથે એક ચેતવણી છે જે પહેલાં કહેવી યોગ્ય છે. ઘણી ડિફોલ્ટ પ્રોફાઇલમાં લોગિંગ બંધ હોય છે, તેથી ખાલી લોગને નિર્દોષતાના પુરાવા તરીકે વાંચતા પહેલાં તપાસો કે સંબંધિત પ્રોફાઇલ ડ્રોપ નોંધે છે કે નહીં. લોગિંગ ચાલુ હોય ત્યારે ઘટના નિયમ, દિશા અને સરનામાં જણાવે છે, જે નિયમ બદલવા માટે બરાબર જરૂરી છે. એપ્લિકેશન નિયમો અને પોર્ટ નિયમો અલગ ઑબ્જેક્ટ છે, અને મેનેજ્ડ નીતિ સ્થાનિક સેટિંગને બાજુ પર રાખી શકે છે. ખાતરી કરો કે નિયમ ખરેખર કયા ક્લાયન્ટ અને કઈ સેવાને આવરે છે.

પ્રોફાઇલ સ્થિતિ અને તાજેતરની ઘટનાઓ નિષ્ફળ ગયેલી મશીન પરથી જ એકત્ર કરો, પડોશી હોસ્ટ પરથી નહીં.

ઘટનાનો સમય તમારા પરીક્ષણના સમય સાથે સરખાવો, કારણ કે અલગ ટાઇમસ્ટેમ્પ સાથે મળતું નિયમનું નામ સંજોગ છે.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

તમે સંભાળો છો તે સર્વર પર પૂછો કે વિનંતી શ્રોતા સુધી પહોંચી હતી કે નહીં. જવાબ વિના આવતું પેકેટ ફોરવર્ડિંગ કે પરત માર્ગની સમસ્યા છે. જે વિનંતી કદી દેખાતી નથી તે ફિલ્ટરિંગ કે સરનામાંકનની સમસ્યા છે.

તબક્કો 4: ટનલ ઉપર આવ્યા પછી ફોરવર્ડિંગ ચકાસો

ફાયરવોલ સત્રને મંજૂરી આપીને પણ સત્ર જે સુધી પહોંચવા માગે છે તે બધું નકારી શકે છે. ફોરવર્ડિંગ sysctl, NAT નિયમો અને પરત રૂટ બધા પ્રમાણીકરણ પછી આવે છે, અને VPN પોર્ટ માટેની વ્યાપક છૂટ તેમાંથી એક પણ સુધારતી નથી. એક આંતરિક ગંતવ્ય અને એક ઇન્ટરનેટ ગંતવ્ય અલગ રીતે ચકાસો, કારણ કે તે સામાન્ય રીતે જુદા કારણોસર નિષ્ફળ જાય છે. આંતરિક નામ નિષ્ફળ જાય પણ સરનામાં કામ કરે, તો કોઈપણ નિયમ પહેલાં પુશ કરેલા DNS તરફ જુઓ.

ક્લાયન્ટ જોડાયેલો હોય અને નિષ્ફળ વિનંતી કરતો હોય ત્યારે સર્વર પર નીચેની ત્રણ તપાસ ચલાવો.

ટનલ ઇન્ટરફેસના કાઉન્ટર મુખ્ય મુદ્દો છે, કારણ કે તે દર્શાવે છે કે પેકેટ અંદર આવ્યા કે નહીં અને કંઈ બહાર ગયું કે નહીં.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

ટનલ પર પેકેટ આવે પણ ગંતવ્ય તરફ કંઈ ન જાય તો ફોરવર્ડિંગ કે NAT શંકાસ્પદ છે. કંઈ જ ન આવે તો સત્ર ઉપર છે પણ ક્લાયન્ટ મોકલતો નથી, અને જોવાનું સ્થળ ક્લાયન્ટનું રૂટ ટેબલ છે.

સુધારો ચકાસો અને જે મદદ ન કરી તે દૂર કરો

મંજૂર સુધારા પછી બરાબર તે જ પરીક્ષણ ફરી કરો જે નિષ્ફળ ગયું હતું અને પરિણામ સમાન પ્રોફાઇલ અને ઉપકરણ સામે નોંધો. પછી કોઈપણ કામચલાઉ અપવાદ દૂર કરો જેણે પરિણામ બદલ્યું નથી, કારણ કે વણવપરાયેલા અપવાદો એકઠા થાય છે અને દરેક એવો નિર્ણય છે જે કોઈને યાદ નથી. જે બાકી રહે તે સાંકડું રાખો: એક ગંતવ્ય, એક પોર્ટ, એક દિશા, એક માલિક.

તે જ ત્રણ આદેશ ફરી ચલાવો અને ફેરફાર પહેલાં સાચવેલા આઉટપુટ સાથે સરખાવો.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

જ્યારે સરખામણી નેટવર્ક કામ કરે, મૂળ નેટવર્ક હજી નિષ્ફળ જાય અને ઘટનાઓ ખાલી રહે, ત્યારે બાકીનો શંકાસ્પદ માર્ગ છે, હોસ્ટ નહીં. બંને સરખામણીના પરિણામ જોડીને તેને નેટવર્ક માલિકને ચોક્કસ નિવેદન તરીકે આપો. બંધ કરેલી ફાયરવોલ પ્રોફાઇલ કરતાં અહીં અટકવું વધુ સારું છે.