Alamat VPN sudah masuk daftar putih tetapi masih diblokir? Lacak

Memasukkan alamat yang ditampilkan aplikasi VPN ke daftar putih jarang memperbaiki port yang diblokir, dan paketnya menjelaskan mengapa. Firewall tidak mengabaikan aturan Anda; ia menilai alamat sumber yang tidak ditampilkan apa pun di layar klien. Sampai tujuan melaporkan nilai itu, setiap penyuntingan aturan hanyalah dugaan.

Mulailah dari permintaan yang tiba di layanan. Alamat terowongan, alamat keluar, dan terjemahan apa pun di antaranya tetap berupa hipotesis sampai tujuan mengonfirmasi salah satunya.

Alamat di aplikasi bukan yang tiba

Koneksi VPN membawa setidaknya empat alamat yang layak disebut terpisah: titik akhir server, alamat terowongan dalam yang ditetapkan ke klien Anda, alamat Wi-Fi atau Ethernet lokal, dan alamat publik yang dilihat situs web setelah lalu lintas keluar dari penyedia. Jendela klien mungkin hanya menampilkan yang kedua. Sebut keempatnya sebelum menyebut aturan. Dengan terowongan terpisah, permintaan ke tujuan publik dapat melewati terowongan sepenuhnya, sehingga sesi yang gagal bukan sesi yang dianggap pengguna telah dimulai.

Putuskan alamat mana dari keempat itu yang hendak diizinkan aturan, lalu verifikasi dari sisi lain. Jika persyaratannya memang alamat kantor, kondisinya adalah rute ditambah pengaturan keluar situs itu, dan koneksi berlabel Office VPN tidak menyediakan keduanya dengan sendirinya.

Lacak satu permintaan sampai batas penyaringannya

Konfirmasi alamat tujuan dan port yang digunakan klien, lalu periksa bahwa tujuan ini mengikuti jalur yang Anda anggap. Port kontainer yang dipublikasikan, proksi terbalik, atau penerusan port dapat memindahkan keputusan ke host yang tidak pernah Anda sunting. Setiap lompatan itu dapat membawa kebijakannya sendiri. Menetapkan jalur lebih dulu menghemat Anda dari memperbaiki aturan yang tidak pernah dicapai paket mana pun.

Di host Linux yang diizinkan, baca aturan aktif secara berurutan sebelum mengubahnya. Layanan yang diteruskan dan layanan kontainer sering melompat ke rantainya sendiri, jadi periksa target lompatan serta putusan akhir.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Sebutkan nomor aturan yang cocok di tiket. Tanpanya, pembaca berikutnya tidak dapat mengetahui suntingan mana yang mengubah hasil. Nomor aturan tanpa stempel waktu tetap ambigu.

Verifikasi jalur dengan satu tangkapan terbatas

Satu permintaan tidak berbahaya dan satu tangkapan sempit menyelesaikan pertanyaan yang terus muncul kembali. Saring pada port tujuan dan host yang diselidiki, batasi jumlah paket, dan hentikan tangkapan segera setelah permintaan selesai.

tcpdump -ni any 'tcp dst port 9443' -c 20

Bandingkan tiga nilai berdampingan: sumber dalam tangkapan, sumber yang disebut aturan yang cocok, dan penolakan yang dicatat aplikasi. Semuanya bisa berbeda, dan hanya yang pertama menjelaskan drop yang diputuskan oleh aturan IP. Header HTTP yang diteruskan milik lapisan proksi, jadi log yang mengutip header itu tidak menggambarkan sumber yang dievaluasi firewall.

Baca urutan rantai, bukan hanya aturannya

Referensi iptables mendokumentasikan traversal berurutan, karena itu izin yang berada di bawah penolakan terminal yang cocok tidak pernah menyelamatkan paket. Koneksi yang diterima sebelumnya juga dapat berperilaku berbeda dari yang baru, jadi keberhasilan lama tidak mengatakan apa pun tentang aturan baru. Temukan penolakan atau drop di atas izin Anda sebelum menganggap izin itu salah. Penghitung per aturan juga memberi tahu aturan mana yang melihat paket.

Menghapus aturan untuk melihat apa yang terjadi adalah perubahan, bukan pengamatan. Baca penghitungnya, catat nomor aturan, dan simpan kebijakan asli dalam catatan perubahan. Jika pengujian tidak terhindarkan, jalankan pada salinan rantai.

Ubah aturan yang dikendalikan pemiliknya

Perbarui hanya kebijakan sumber dan layanan yang dimaksud, melalui siapa pun yang memilikinya. Keluar yang diterjemahkan bersama dapat mewakili banyak pengguna sekaligus, jadi mengizinkan alamat itu tidak mengautentikasi siapa pun, dan izin aplikasi di belakangnya tetap di tempatnya.

Ketika alamat terus berpindah, jawaban yang tahan lama adalah keluar yang stabil atau saluran terautentikasi, bukan daftar pengecualian yang lebih panjang. Catat sumber yang diamati, port tujuan, dan nomor aturan.