VPN հասցեն սպիտակ ցուցակում է, իսկ արգելափակումը մնում է. ինչպես գտնել պատճառը

VPN հավելվածի ցուցադրած հասցեն սպիտակ ցուցակում ընդգրկելը հազվադեպ է ուղղում արգելափակված պորտը, և փաթեթը բացատրում է, թե ինչու։ Հրդեհային պատը չի անտեսում ձեր կանոնը, այն գնահատում է աղբյուրի հասցե, որը հաճախորդի էկրանին ոչինչ չի ցուցադրում։ Քանի դեռ նպատակակետը չհայտնի այդ արժեքը, կանոնի յուրաքանչյուր փոփոխություն ենթադրություն է։

Սկսեք այն հարցումից, որը հասնում է ծառայությանը։ Թունելի հասցեն, ելքի հասցեն և նրանց միջև ցանկացած թարգմանություն մնում են վարկածներ, քանի դեռ նպատակակետը չի հաստատում դրանցից մեկը։

Հավելվածում երևացող հասցեն այն չէ, որը հասնում է

VPN կապը կրում է առնվազն չորս հասցե, որոնք արժե առանձին անվանել. սերվերի վերջնակետը, ձեր հաճախորդին հատկացված ներքին թունելի հասցեն, տեղական Wi-Fi կամ Ethernet հասցեն, և այն հանրային հասցեն, որը տեսնում է կայքը այն բանից հետո, երբ երթևեկությունը լքում է մատակարարին։ Հաճախորդի պատուհանը կարող է ցույց տալ միայն երկրորդը։ Անվանեք բոլոր չորսը նախքան կանոն անվանելը։ Բաժանված թունելի դեպքում հանրային նպատակակետին ուղղված հարցումները կարող են ամբողջությամբ շրջանցել թունելը, ուստի ձախողված սեսիան այն չէ, որը օգտատերը կարծում է, թե սկսել է։

Որոշեք, թե այդ չորսից որին պետք է թույլատրի կանոնը, ապա ստուգեք այն մյուս կողմից։ Եթե պահանջը իրոք գրասենյակի հասցե է, պայմանը երթուղին գումարած այդ տեղամասի ելքի կարգավորումն է, և Office VPN պիտակով կապը ինքնին ոչ մեկը չի ապահովում։

Հետևեք մեկ հարցման մինչև նրա զտման սահմանը

Հաստատեք նպատակակետ հասցեն և պորտը, որոնք օգտագործում է հաճախորդը, ապա ստուգեք, որ այս նպատակակետը հետևում է ձեր ենթադրած ուղուն։ Հրապարակված կոնտեյների պորտը, հակադարձ պրոքսին կամ պորտի փոխանցումը կարող են որոշումը տեղափոխել մի հոսթ, որը դուք երբեք չեք խմբագրել։ Այդ ցատկերից յուրաքանչյուրը կարող է կրել իր սեփական քաղաքականությունը։ Ուղին նախապես պարզելը փրկում է ձեզ այնպիսի կանոն ուղղելուց, որին ոչ մի փաթեթ չի հասնում։

Լիազորված Linux հոսթի վրա, նախքան փոփոխելը, ըստ հերթականության կարդացեք գործող կանոնները։ Փոխանցված և կոնտեյներային ծառայությունները հաճախ ցատկում են իրենց սեփական շղթան, ուստի ստուգեք ինչպես ցատկի թիրախը, այնպես էլ վերջնական վճիռը։

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Տոմսում նշեք համապատասխան կանոնի համարը։ Առանց դրա հաջորդ ընթերցողը չի կարող իմանալ, թե որ խմբագրումը փոխեց արդյունքը։ Առանց ժամանակի դրոշմանիշի կանոնի համարը դեռ երկիմաստ է։

Ստուգեք ուղին մեկ սահմանափակ որսով

Մեկ անվնաս հարցում և մեկ նեղ որս լուծում են այն հարցը, որը նորից ու նորից վերադառնում է։ Զտեք ըստ նպատակակետ պորտի և հետազոտվող հոսթի, սահմանափակեք փաթեթների քանակը և դադարեցրեք որսը հենց որ հարցումն ավարտվի։

tcpdump -ni any 'tcp dst port 9443' -c 20

Համեմատեք երեք արժեք կողք կողքի. որսի մեջ աղբյուրը, համապատասխան կանոնի նշած աղբյուրը և այն մերժումը, որը գրանցել է հավելվածը։ Դրանք բոլորը կարող են տարբերվել, և միայն առաջինն է բացատրում IP կանոնով որոշված ընկնելը։ Փոխանցված HTTP վերնագիրը պատկանում է պրոքսի շերտին, ուստի այդ վերնագիրը մեջբերող մատյանը չի նկարագրում այն աղբյուրը, որը գնահատել է հրդեհային պատը։

Կարդացեք շղթայի հերթականությունը, ոչ միայն կանոնը

iptables-ի տեղեկատուն փաստագրում է կարգավորված անցումը, և դրա համար համապատասխան վերջնական մերժումից ներքև գտնվող թույլատրումը երբեք չի փրկում փաթեթը։ Ավելի վաղ ընդունված կապը կարող է նաև այլ կերպ վարվել, քան նորը, ուստի հին հաջողությունը ոչինչ չի ասում նոր կանոնի մասին։ Գտեք մերժումը կամ ընկնելը ձեր թույլատրումից վերև, նախքան ենթադրելը, որ թույլատրումը սխալ է։ Կանոնների հաշվիչները նույնպես ասում են, թե որ կանոնն է տեսել փաթեթը։

Կանոն ջնջելը՝ տեսնելու, թե ինչ կլինի, փոփոխություն է, ոչ դիտարկում։ Կարդացեք հաշվիչները, նշեք կանոնի համարը և պահեք սկզբնական քաղաքականությունը փոփոխությունների մատյանում։ Եթե փորձարկումն անխուսափելի է, կատարեք այն շղթայի պատճենի վրա։

Փոխեք այն կանոնը, որը վերահսկում է դրա սեփականատերը

Թարմացրեք միայն նախատեսված աղբյուրի և ծառայության քաղաքականությունը, դրա տիրոջ միջոցով։ Համօգտագործվող թարգմանված ելքը կարող է միաժամանակ ներկայացնել շատ օգտատերերի, ուստի այդ հասցեն թույլատրելը ոչ ոքի չի նույնականացնում, և դրա հետևում գտնվող հավելվածի թույլտվությունները մնում են իրենց տեղում։

Երբ հասցեն շարունակում է շարժվել, կայուն պատասխանը կայուն ելք կամ նույնականացված ալիք է, ոչ թե ավելի երկար բացառությունների ցանկ։ Գրանցեք դիտարկված աղբյուրը, նպատակակետ պորտը և կանոնի համարը։