VPN-მისამართი ნებადართულთა სიაში და მაინც დაბლოკილია? მიადევნეთ კვალი

VPN აპის მიერ ნაჩვენები მისამართის ნებადართულთა სიაში შეტანა იშვიათად ასწორებს დაბლოკილ პორტს, და პაკეტი თავად განმარტავს მიზეზს. ფაირვოლი არ უგულებელყოფს თქვენს წესს; ის აფასებს წყაროს მისამართს, რომელსაც კლიენტის ეკრანზე ვერაფერი აჩვენებს. სანამ დანიშნულება ამ მნიშვნელობას არ შეატყობინებს, წესის ყოველი ცვლილება ვარაუდია.

დაიწყეთ იმ მოთხოვნით, რომელიც სერვისამდე აღწევს. გვირაბის მისამართი, გასასვლელი მისამართი და მათ შორის ნებისმიერი თარგმანი ჰიპოთეზებად რჩება, სანამ დანიშნულება ერთ-ერთ მათგანს არ დაადასტურებს.

აპში ნაჩვენები მისამართი არ არის ის, რაც აღწევს

VPN კავშირი ატარებს სულ მცირე ოთხ მისამართს, რომლებიც ღირს ცალკე დასახელება: სერვერის საბოლოო წერტილი, თქვენს კლიენტზე მინიჭებული შიდა გვირაბის მისამართი, ლოკალური Wi-Fi ან Ethernet მისამართი, და საჯარო მისამართი, რომელსაც ვებსაიტი ხედავს მას შემდეგ, რაც ტრაფიკი პროვაიდერს ტოვებს. კლიენტის ფანჯარამ შეიძლება მხოლოდ მეორე აჩვენოს. დაასახელეთ ოთხივე, სანამ წესს დაასახელებთ. გაყოფილი გვირაბის დროს საჯარო დანიშნულების მოთხოვნებმა შეიძლება მთლიანად გვერდი აუარონ გვირაბს, ამიტომ წარუმატებელი სესია არ არის ის, რაც მომხმარებელს ჰგონია, რომ დაიწყო.

გადაწყვიტეთ, ამ ოთხიდან რომელი უნდა დაუშვას წესმა, შემდეგ შეამოწმეთ მეორე მხრიდან. თუ მოთხოვნა ნამდვილად ოფისის მისამართია, პირობაა მარშრუტი და ამ საიტის გასასვლელი მოწყობა, და Office VPN ეტიკეტის მქონე კავშირი თავისთავად არც ერთს არ იძლევა.

მიადევნეთ ერთ მოთხოვნას მის ფილტრაციის საზღვრამდე

დაადასტურეთ დანიშნულების მისამართი და პორტი, რომლებსაც კლიენტი იყენებს, შემდეგ შეამოწმეთ, რომ ეს დანიშნულება მიჰყვება თქვენ მიერ ნავარაუდევ გზას. გამოქვეყნებულმა კონტეინერის პორტმა, საპირისპირო პროქსიმ ან პორტის გადამისამართებამ შეიძლება გადაწყვეტილება გადაიტანოს ჰოსტზე, რომელიც არასდროს შეგიცვლია. ამ ნაბიჯებიდან თითოეულს შეიძლება ჰქონდეს საკუთარი პოლიტიკა. გზის წინასწარ დადგენა გიხსნით იმ წესის გასწორებისგან, რომელსაც არც ერთი პაკეტი არ აღწევს.

ავტორიზებულ Linux ჰოსტზე, შეცვლამდე თანმიმდევრობით წაიკითხეთ მოქმედი წესები. გადამისამართებული და კონტეინერის სერვისები ხშირად საკუთარ ჯაჭვში ხტება, ამიტომ შეამოწმეთ როგორც ნახტომის სამიზნე, ისე საბოლოო განაჩენი.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

ბილეთში მიუთითეთ შესაბამისი წესის ნომერი. მის გარეშე შემდეგი მკითხველი ვერ გაიგებს, რომელმა ცვლილებამ შეცვალა შედეგი. დროის ნიშნის გარეშე წესის ნომერი კვლავ ორაზროვანია.

შეამოწმეთ გზა ერთი შეზღუდული ჩაწერით

ერთი უწყინარი მოთხოვნა და ერთი ვიწრო ჩაწერა წყვეტს კითხვას, რომელიც არაერთხელ ბრუნდება. გაფილტრეთ დანიშნულების პორტით და გამოკვლევის ქვეშ მყოფი ჰოსტით, შეზღუდეთ პაკეტების რაოდენობა და შეწყვიტეთ ჩაწერა, როგორც კი მოთხოვნა დასრულდება.

tcpdump -ni any 'tcp dst port 9443' -c 20

შეადარეთ სამი მნიშვნელობა გვერდიგვერდ: წყარო ჩაწერაში, წყარო, რომელსაც შესაბამისი წესი ასახელებს, და უარი, რომელიც აპმა ჩაწერა. ისინი შეიძლება ყველა განსხვავდებოდეს, და მხოლოდ პირველი ხსნის IP წესით განსაზღვრულ ვარდნას. გადამისამართებული HTTP სათაური პროქსის ფენას ეკუთვნის, ამიტომ იმ სათაურზე დაფუძნებული ჟურნალი არ აღწერს წყაროს, რომელიც ფაირვოლმა შეაფასა.

წაიკითხეთ ჯაჭვის რიგი, არა მხოლოდ წესი

iptables-ის ცნობარი აღწერს მოწესრიგებულ გავლას, ამიტომ შესაბამისი საბოლოო უარის ქვემოთ მდგარი ნებართვა არასდროს იხსნის პაკეტს. ადრე მიღებულმა კავშირმა შეიძლება სხვაგვარად მოიქცეს, ვიდრე ახალმა, ამიტომ ძველი წარმატება ახალ წესზე არაფერს ამბობს. იპოვეთ უარი ან ვარდნა თქვენი ნებართვის ზემოთ, სანამ ჩათვლით, რომ ნებართვა მცდარია. წესების მრიცხველები ასევე გეუბნებიან, რომელმა წესმა ნახა პაკეტი.

წესის წაშლა იმის სანახავად, თუ რა მოხდება, ცვლილებაა და არა დაკვირვება. წაიკითხეთ მრიცხველები, ჩაიწერეთ წესის ნომერი და შეინახეთ საწყისი პოლიტიკა ცვლილებების ჟურნალში. თუ ტესტი გარდაუვალია, გაუშვით ის ჯაჭვის ასლზე.

შეცვალეთ წესი, რომელსაც მისი მფლობელი აკონტროლებს

განაახლეთ მხოლოდ განკუთვნილი წყაროსა და სერვისის პოლიტიკა, მისი მფლობელის მეშვეობით. გაზიარებული თარგმნილი გასასვლელი შეიძლება ერთდროულად ბევრ მომხმარებელს წარმოადგენდეს, ამიტომ ამ მისამართის დაშვება არავის აიდენტიფიცირებს, და მის უკან არსებული აპის ნებართვები რჩება იქ, სადაც არიან.

როცა მისამართი განაგრძობს მოძრაობას, მდგრადი პასუხია სტაბილური გასასვლელი ან იდენტიფიცირებული არხი და არა უფრო გრძელი გამონაკლისების სია. ჩაიწერეთ დაკვირვებული წყარო, დანიშნულების პორტი და წესის ნომერი.