Blokkar eldveggurinn VPN-ið? Skref fyrir skref athugun

Eitt VPN tímamörk sanna að ekkert nothæft svar barst, og sanna ekkert um ástæðuna. Prófíllinn kann að tilgreina rangt gátt, þjónninn kann að vera niðri, eða beiðnin kann að berast án virkrar afturleiðar. Hvert þessara skilur eftir sig annað spor, og sporið er það sem segir þér hvaða reglu á að snerta. Farðu í gegnum fjögur skrefin hér að neðan í röð. Stoppaðu um leið og eitt þeirra útskýrir einkennið.

Skref 1: staðfestu þjóninn og flutninginn

Lestu nafn þjónsins, flutninginn og gáttina úr núverandi prófíl rekstraraðilans en ekki úr staðbundinni breytingu. Gátt sem breytt var í fartölvunni þinni getur ekki búið til hlustanda á opinberum þjóni, og þetta misræmi framleiðir tímamörk sem eru eins og blokkun. Ef prófíllinn býður upp á studdan varamáta flutnings skaltu skrá hann sem varaleið en ekki sem lagfæringu. Leystu nafnið og berðu svarið saman við heimilisfangið sem rekstraraðilinn birti.

Úrelt DNS-færsla sendir biðlarann á hýsil sem svaraði aldrei. Það er önnur bilun sem líkir eftir síu, og það kostar eina fyrirspurn að útiloka hana.

Skrifaðu bæði gildin á miðann. Sérhver síðari samanburður notar þau, og miði án þeirra byrjar rannsóknina upp á nýtt.

Skref 2: sannaðu slóðina með einum stýrðum samanburði

Hafðu tækið og prófílinn óbreytt og prófaðu annað traust aðgangsnet. Ef göngin rísa þar er munurinn upprunalega slóðin eða stefna hennar. Ef annað samþykkt tæki virkar á upprunalega netinu er munurinn fyrra tækið. Annar þessara tveggja samanburða er næstum alltaf afgerandi.

Kláraðu fyrst alla lögmæta netinnskráningu, því innilokuð gátt lítur út eins og blokkun þar til henni er lokið.

Prófaðu gáttina sem þú notar í raun, og meðhöndla TCP-niðurstöðu sem upplýsingar um TCP eitt og sér.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Árangursríkt TCP handaband á gátt 443 segir að hlustandi hafi svarað þar. Það segir ekkert um UDP hlustanda á 51820, og ekkert um hvort samningaviðræðunum var lokið.

Skref 3: lestu öryggisatburðina fyrir augnablik bilunarinnar

Atburðir eldveggsins eru sterkasta sönnunin sem völ er á, og þeir bera fyrirvara sem vert er að nefna fyrst. Skráning er slökkt í mörgum sjálfgefnum prófílum, svo athugaðu hvort viðkomandi prófíll skrái frávik áður en þú lest tóman annál sem sönnun sakleysis. Þegar skráning er virk nefnir atburðurinn regluna, stefnuna og heimilisföngin, sem er einmitt það sem reglubreyting þarf. Forritareglur og gáttarreglur eru aðskildir hlutir, og stýrð stefna getur hnekkt staðbundinni stillingu. Staðfestu hvaða biðlara og hvaða þjónustu regla nær í raun yfir.

Safnaðu stöðu prófílsins og nýlegum atburðum frá vélinni sem brást, ekki frá nágrannahýsli.

Berðu tíma atburðarins saman við tíma tilraunar þinnar, því samsvarandi regluheiti með annarri tímastimpli er tilviljun.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Á þjóni sem þú stýrir skaltu spyrja hvort beiðnin hafi yfirhöfuð náð til hlustandans. Pakki sem berst án svars er vandamál í framsendingu eða afturleið. Beiðni sem birtist aldrei er vandamál í síun eða vistfangi.

Skref 4: prófaðu framsendingu eftir að göngin rísa

Eldveggur getur leyft setuna og samt neitað öllu sem setan vill ná til. Framsendingar-sysctl, NAT-reglur og afturleiðir eru allar eftir auðkenningu, og breið undanþága fyrir VPN-gáttina lagar enga þeirra. Prófaðu eitt innra áfangastað og einn internetáfangastað sitt í hvoru lagi, því þau mistakast venjulega af mismunandi ástæðum. Ef innri nöfn mistakast en heimilisföng virka skaltu líta á ýttu DNS-ina fyrir hvaða reglu sem er.

Keyrðu þrjár athuganirnar hér að neðan á þjóninum meðan biðlari er tengdur og reynir beiðnina sem mistekst.

Teljararnir á tengi göngunnar eru málið, því þeir sýna hvort pakkar komu inn og hvort eitthvað fór út.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Þegar pakkar berast á göngin og ekkert fer út til áfangastaðarins er grunurinn framsending eða NAT. Þegar ekkert berst er setan uppi en biðlarinn sendir ekki, og staðurinn til að skoða er leiðartöflu biðlarans.

Athugaðu lagfæringuna og fjarlægðu það sem hjálpaði ekki

Eftir samþykkta lagfæringu skaltu endurtaka nákvæmlega þá prófun sem brást og skrá niðurstöðuna gagnvart sama prófíl og tæki. Fjarlægðu síðan hverja tímabundna undantekningu sem breytti ekki niðurstöðunni, því ónotaðar undantekningar safnast upp og hver og ein er ákvörðun sem enginn man eftir. Haltu því sem eftir er þröngu: einn áfangastaður, ein gátt, ein stefna, einn ábyrgðarmaður.

Keyrðu sömu þrjár skipanir aftur og berðu þær saman við úttakið sem þú vistaðir fyrir breytinguna.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Þegar samanburðarnetið virkar, upprunalega netið mistekst enn og atburðirnir eru tómir, er eftirstandandi grunur slóðin en ekki hýsillinn. Afhenda það neteigandanum sem nákvæma fullyrðingu, með báðum samanburðarniðurstöðum viðfengnum. Það er betri staður til að stöðva en óvirka eldveggsprófíl.