Firewall VPN-ді бөгеп тұр ма? Кезең-кезеңмен тексеру

Бір VPN таймауты пайдалы жауап келмегенін дәлелдейді және себебі туралы ештеңе дәлелдемейді. Профиль қате портты көрсетуі мүмкін, сервер өшірулі болуы мүмкін немесе сұраныс жұмыс істейтін қайтару жолы жоқ келуі мүмкін. Осылардың әрқайсысы өзге із қалдырады, ал қай ережеге тию керектігін сол із айтады. Төмендегі төрт кезеңді ретімен орындаңыз. Қайсысы симптомы түсіндірсе, сол жерде тоқтаңыз.

1-кезең: сервер мен тасымалды растаңыз

Сервер атауын, тасымалды және портты жергілікті өзгертуден емес, оператордың ағымдағы профилінен оқыңыз. Ноутбукіңізде өзгертілген порт жария серверде тыңдаушы жасай алмайды, ал бұл сәйкессіздік бөгеуге бірдей таймаут береді. Профиль қолдау көрсетілетін балама тасымал ұсынса, оны шешім ретінде емес, қосалқы нұсқа ретінде жазып қойыңыз. Атауды шешіп, жауапты оператор жариялаған мекенжаймен салыстырыңыз.

Ескірген DNS жазбасы клиентті ешқашан жауап бермеген хостқа жібереді. Бұл да сүзгіні елестететін ақау, оны алып тастау бір сұранысқа тұрар.

Екі мәнді де тикетке жазыңыз. Әрбір кейінгі салыстыру соларды пайдаланады, ал оларсыз тикет тергеуді қайта бастайды.

2-кезең: жолды бір бақыланатын салыстырумен дәлелдеңіз

Құрылғы мен профильді өзгертпей, басқа сенімді кіру желісін байқап көріңіз. Туннель сонда көтерілсе, айырмашылық бастапқы жолда немесе оның саясатында. Екінші рұқсат етілген құрылғы бастапқы желіде жұмыс істесе, айырмашылық бірінші құрылғыда. Осы екі салыстырудың бірі әрдайым дерлік шешуші.

Алдымен кез келген заңды желіге кіруді аяқтаңыз, өйткені тұтқын портал аяқталғанша бөгеуге ұқсайды.

Шын мәнінде қолданатын портты тексеріңіз және TCP нәтижесін тек TCP туралы ақпарат деп қабылдаңыз.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

443 портындағы сәтті TCP қол алысуы онда тыңдаушы жауап бергенін білдіреді. Ол 51820 портындағы UDP тыңдаушысы туралы және келіссөздің аяқталғаны туралы ештеңе айтпайды.

3-кезең: сәтсіздік сәтінің қауіпсіздік оқиғаларын оқыңыз

Firewall оқиғалары — қолжетімді ең күшті дәлел, және олардың алдын ала айтуға тұрарлық ескертуі бар. Көптеген әдепкі профильдерде журнал жүргізу өшірулі, сондықтан бос журналды кінәсіздік дәлелі ретінде оқымас бұрын тиісті профильдің тастауларды жазатынын тексеріңіз. Журнал қосулы болса, оқиға ережені, бағытты және мекенжайларды көрсетеді, бұл ереже өзгертуге дәл керегі. Қолданба ережелері мен порт ережелері бөлек нысандар, ал басқарылатын саясат жергілікті параметрдің үстінен жазуы мүмкін. Ереженің қай клиентті және қай қызметті шынымен қамтитынын растаңыз.

Профиль күйі мен соңғы оқиғаларды іргелес хосттан емес, сәтсіздікке ұшыраған машинадан жинаңыз.

Оқиға уақытын өз сынағыңыздың уақытымен салыстырыңыз, өйткені өзге уақыт белгісімен сәйкес келетін ереже атауы кездейсоқтық.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Өзіңіз басқаратын серверде сұраныстың тыңдаушыға жеткенін сұраңыз. Жауапсыз келген пакет — жөнелту немесе қайтару жолының мәселесі. Ешқашан көрінбейтін сұраныс — сүзу немесе мекенжайлау мәселесі.

4-кезең: туннель көтерілгеннен кейін жөнелтуді тексеріңіз

Firewall сессияға рұқсат беріп, оның жетуі керек нәрсенің бәрін әлі де қабылдамауы мүмкін. Жөнелту sysctl-дері, NAT ережелері және қайтару жолдары түгелдей аутентификациядан кейін тұр, ал VPN портына арналған кең жеңілдік олардың ешқайсысын түзетпейді. Бір ішкі межелі орынды және бір интернет межелі орнын бөлек тексеріңіз, өйткені олар әдетте түрлі себептермен сәтсіздікке ұшырайды. Ішкі атаулар сәтсіз болып, мекенжайлар жұмыс істесе, кез келген ережеден бұрын итерілген DNS-ке қараңыз.

Клиент қосылған және сәтсіз сұранысты жасап жатқанда серверде төмендегі үш тексеруді орындаңыз.

Туннель интерфейсіндегі есептегіштер — басты нәрсе, өйткені олар пакеттердің кіргенін және бірдеңенің шыққанын көрсетеді.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Пакеттер туннельге келіп, межелі орынға ештеңе шықпаса, күдікті — жөнелту немесе NAT. Ештеңе келмесе, сессия көтерілген, бірақ клиент жібермейді, ал қарайтын жер — клиенттің маршрут кестесі.

Түзетуді тексеріп, көмектеспегенін алып тастаңыз

Бекітілген түзетуден кейін сәтсіз болған дәл сол сынақты қайталап, нәтижені сол профиль мен құрылғыға қатысты жазыңыз. Сосын нәтижені өзгертпеген кез келген уақытша жеңілдікті алып тастаңыз, өйткені пайдаланылмаған жеңілдіктер жинақталады және әрқайсысы ешкім есінде сақтамаған шешім. Қалғанын тар ұстаңыз: бір межелі орын, бір порт, бір бағыт, бір иесі.

Сол үш пәрменді қайта іске қосып, өзгертуге дейін сақтаған шығыстармен салыстырыңыз.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Салыстыру желісі жұмыс істеп, бастапқы желі әлі сәтсіз болып, оқиғалар бос қалса, қалған күдікті — хост емес, жол. Оны желі иесіне нақты тұжырым ретінде, екі салыстыру нәтижесін тіркей отырып беріңіз. Бұл өшірілген firewall профилінен гөрі тоқтауға жақсырақ орын.