Felvette a VPN-címet a fehérlistára, és még mindig blokkol? Kövesse nyomon

A VPN-alkalmazás által mutatott cím fehérlistára vétele ritkán javít ki egy blokkolt portot, és a csomag megmagyarázza, miért. A tűzfal nem hagyja figyelmen kívül a szabályt; olyan forráscímet értékel, amelyet semmi nem mutat az ügyfél képernyőjén. Amíg a cél nem jelenti ezt az értéket, minden szabályszerkesztés találgatás.

Kezdje azzal a kéréssel, amely eléri a szolgáltatást. Az alagút címe, a kilépési cím és a kettő közötti bármilyen fordítás hipotézis marad, amíg a cél meg nem erősít egyet közülük.

Az alkalmazásban látható cím nem az, amely megérkezik

Egy VPN-kapcsolat legalább négy címet hordoz, amelyeket érdemes külön megnevezni: a kiszolgáló végpontját, az ügyfélnek kiosztott belső alagútcímet, a helyi Wi-Fi- vagy Ethernet-címet, és azt a nyilvános címet, amelyet egy webhely lát, miután a forgalom elhagyta a szolgáltatót. Az ügyfélablak esetleg csak a másodikat mutatja. Nevezze meg mind a négyet, mielőtt szabályt nevez meg. Osztott alagút esetén a nyilvános cél felé menő kérések teljesen megkerülhetik az alagutat, így a sikertelen munkamenet nem az, amelyet a felhasználó azt hiszi, hogy elindított.

Döntse el, melyiket kell a szabálynak engedélyeznie a négy közül, majd ellenőrizze a másik oldalról. Ha a követelmény valóban irodai cím, a feltétel az útvonal plusz az adott telephely kilépési elrendezése, és az Office VPN címkével ellátott kapcsolat önmagában egyiket sem nyújtja.

Kövessen egy kérést a szűrési határáig

Erősítse meg az ügyfél által használt célcímet és portot, majd ellenőrizze, hogy ez a cél a feltételezett útvonalat követi-e. Egy közzétett konténerport, egy fordított proxy vagy egy porttovábbítás áthelyezheti a döntést egy olyan gazdagépre, amelyet soha nem szerkesztett. Ezen ugrások mindegyike saját házirendet hordozhat. Az útvonal előzetes megállapítása megkíméli attól, hogy olyan szabályt javítson, amelyet egyetlen csomag sem ér el.

Egy engedélyezett Linux-gazdagépen olvassa el a hatályos szabályokat sorrendben, mielőtt módosítaná őket. A továbbított és konténeres szolgáltatások gyakran a saját láncukba ugranak, ezért vizsgálja meg az ugrás célját és a végső ítéletet is.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Tüntesse fel a megfelelő szabályszámot a jegyben. Enélkül a következő olvasó nem tudhatja, melyik szerkesztés változtatta meg az eredményt. Az időbélyeg nélküli szabályszám továbbra is kétértelmű.

Ellenőrizze az útvonalat egyetlen korlátozott rögzítéssel

Egy ártalmatlan kérés és egy szűk rögzítés eldönti a kérdést, amely újra és újra visszatér. Szűrjön a célportra és a vizsgált gazdagépre, korlátozza a csomagok számát, és állítsa le a rögzítést, amint a kérés befejeződött.

tcpdump -ni any 'tcp dst port 9443' -c 20

Hasonlítson össze három értéket egymás mellett: a rögzítésben szereplő forrást, a megfelelő szabály által megnevezett forrást és az alkalmazás által naplózott elutasítást. Ezek mind különbözhetnek, és csak az első magyarázza meg az IP-szabály által eldöntött eldobást. A továbbított HTTP-fejléc a proxy rétegéhez tartozik, ezért a fejlécet idéző napló nem azt a forrást írja le, amelyet a tűzfal értékelt.

A lánc sorrendjét olvassa, ne csak a szabályt

Az iptables-referencia a rendezett áthaladást dokumentálja, ezért a megfelelő végső elutasítás alatt álló engedély soha nem menti meg a csomagot. Egy korábban elfogadott kapcsolat másként is viselkedhet, mint egy új, így egy régi siker semmit sem mond az új szabályról. Keresse meg az elutasítást vagy eldobást az engedélye fölött, mielőtt feltételezi, hogy az engedély hibás. A szabályonkénti számlálók azt is megmondják, melyik szabály látta a csomagot.

Egy szabály törlése, hogy lássuk, mi történik, változtatás, nem megfigyelés. Olvassa el a számlálókat, jegyezze fel a szabályszámot, és őrizze meg az eredeti házirendet a változási naplóban. Ha egy teszt elkerülhetetlen, futtassa a lánc egy másolatán.

Módosítsa azt a szabályt, amelyet a tulajdonosa irányít

Csak a szándékolt forrás- és szolgáltatásházirendet frissítse, azon keresztül, aki birtokolja. Egy megosztott lefordított kilépés egyszerre sok felhasználót képviselhet, ezért az adott cím engedélyezése senkit nem hitelesít, és a mögötte lévő alkalmazásengedélyek ott maradnak, ahol vannak.

Amikor a cím folyamatosan mozog, a tartós válasz egy stabil kilépés vagy egy hitelesített csatorna, nem egy hosszabb kivétellista. Rögzítse a megfigyelt forrást, a célportot és a szabályszámot.