VPN tengt en eldveggurinn lokar enn: hvernig á að greina hvor

Göngin eru uppi og ein gátt bregst enn. Lestu slóðina, síðan stefnuna á hverju lagi, og breyttu þrengstu reglunni í stað þess að slökkva á öðru hvoru stýringunni.

Biðlarinn segist tengdur, auðlindin neitar enn, og venjulega næsta skref er að slökkva á einhverju. Báðar stýringarnar í þeirri setningu gera mismunandi hluti: VPN byggir slóð fyrir umfangið umferð, og eldveggur ákveður fyrir hverja tengingu hvort umferðin megi fara í gegn. Vinnandi göng með stefnu sem neitar líta nákvæmlega út eins og brotin göng frá stól notandans, svo verkefnið er að finna hvaða lag svarar. Hér er röðin sem ég fylgi, með lestrinum sem segir þér að stoppa.

Aðskildu slóðina frá stefnunni

Byrjaðu á lögun bilunarinnar, því það er ókeypis upplýsing. Sleppt pakki veldur tímanum: biðlarinn reynir aftur, ekkert kemur til baka, og skipunin hangir þar til hún gefst upp. Synjun veldur neitun eða endurstillingu: eitthvað svaraði og sagði nei. Þjónusta sem hlýðir ekki neitar á hýsilnum sjálfum, án nokkurs eldveggs.

Þessar þrjár niðurstöður benda á mismunandi lög. Tími þýðir að einhvers staðar sleppir stefna hljóðlega, eða slóðin yfirgefur vélina aldrei. Neitað þýðir að þú náðir hýsilnum og stafli hans eða staðbundinn eldveggur neitaði. Algjör þögn, með tengi ganganna uppi og enga slóð að áfangastað, þýðir að slóðin er röng og engin eldveggsregla lagar það.

Lestu slóðina í einni ferð

Staðfestu að göngin nái yfir áfangastaðinn áður en þú lítur á eina reglu. Skipt göng sem flytja aðeins skrifstofunetið munu ekki beina beiðni í annað svið, og þá lítur bilunin út eins og eldveggsblokkun sem er það ekki:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Úttak slóðarinnar nefnir tengið sem pakkinn fer út um og upprunafangið sem hann ber. Ef það tengi er líkamlega netkortið þitt en ekki göngin, er vandamálið í beiningu eða leyfðum sviðum ganganna, og það tilheyrir VPN-stillingunum en ekki eldveggnum.

Ein gildra sem er sérstök fyrir VPN á skilið eigin athugun. Í WireGuard er AllowedIPs jafningja bæði slóð og dulritunarfilter: pakki sem upprunafang hans passar ekki við leyft mengi jafningjans er sleppt áður en nokkur eldveggsregla er skoðuð. Þannig getur fullkomlega réttur hýsileldveggur staðið bak við hljóðláta sleppingu sem lítur út eins og stefna, og lagfæringin er stillingarlína fyrir lykilinn, ekki regla.

Lestu stefnuna á því lagi sem svarar

Þegar slóðin er rétt, gakktu í gegnum stefnuna frá hýsilnum og út og fylgstu með því eina lagi sem teljararnir hreyfast á:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Hlustaða sambandið svarar annarri spurningu en reglurnar. Ef ekkert hlustar á gáttina neitar kjarninn tengingunni og engin inntaksregla á við. Ef sambandið er til og tenging frá fjartengdum biðlara rennur út, er slepping að eiga sér stað einhvers staðar á slóðinni, og teljarar reglnanna segja þér hvort hún eigi sér stað hér.

Kveiktu á skráningu fyrir sniðmátið eða keðjuna sem þú grunar í stað þess að giska utan frá. Ein skráð slepping sem nefnir uppruna, áfangastað og gátt greinir lagið og regluna, og sannar líka að pakkinn kom, sem engin prófun á biðlarahlið getur staðfest.

Lestu ákvörðun hliðsins þegar göngin enda þar

Á hliði staðar-til-staðar eða fjaraðgangs auðkennir VPN notanda og stefnan heimilar auðlind, og það eru aðskilin leyfi. Notandi sem er hleypt inn í göngin er ekki sjálfkrafa hleypt inn á hvern innri hýsil, og neitunin kemur oft frá framsendingarreglu á meðan göngin sjálf eru heilbrigð. Sama aðskilnaður kemur fram í IPsec, þar sem öryggisstefnan sem velur umferð er frábrugðin síunni sem hleypir henni inn, og þess vegna eru þau skjalfest sem mismunandi fyrirkomulag í RFC 4301.

Athugaðu bakleiðina jafn vandlega og útleiðina. Stöðusíun þarf að sjá svarið, svo ósamhverfa beining í gegnum göngin í aðra átt og í kringum þau í hina veldur sleppingum sem virðast handahófskenndar og endurtaka sig aðeins frá sumum biðlurum. Ef umferðin nær hliðinu og stoppar, lestu framsendingarregluna og bakleiðina saman áður en þú víkkar eitthvað.

Hliðið er líka staðurinn þar sem NAT- eða dulbúningregla getur falið raunverulega upprunann. Ef innri hýslar sjá heimilisfang hliðsins í stað biðlarans, munu eldveggsreglur þeirra sem eiga að passa við biðlarahópinn aldrei passa, og lagfæringin tilheyrir hliðinu en ekki hverjum þjóni.

Breyttu þrengsta laginu og staðfestu síðan

Standastu gegn víðtækri viðgerð. Að slökkva á hýsileldveggnum, bæta við reglu sem leyfir allt eða þvinga hvert tengi inn í traust sniðmát fjarlægir hverju sinni stýringuna sem var að gera sitt verk, og breytingin lifir atvikinu. Regla sem er takmörkuð við upprunasviðið og viðkomandi gátt er auðveldari yfirferðar, auðveldari að fjarlægja, og skilur afgang stefnu vélarinnar ósnortinn.

Staðfestu með sama prófi og brást, frá sama biðlara, og svo einu sinni enn eftir endurtengingu, því regla sem passar áður en göngin semja aftur getur hætt að passa eftir það:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Áður en þú lokar þessu:

  • Slóðin að áfangastaðnum fer út um tengi ganganna, og upprunafangið passar við það sem stefnan væntir.
  • Eitthvað hlustar á gáttina, og neitunin eða tíminn er rakin til nefndrar reglu í stað þess að vera gert ráð fyrir.
  • Hliðið sendir í báðar áttir, og áfangastaðurinn sér upprunann sem reglurnar þínar voru skrifaðar fyrir.
  • Engri stýringu var slökkt til að prófið stæðist, og breytingin sem þú gerðir nefnir eitt upprunasvið og eina gátt.

Tengdir greinar