VPN 주소를 허용 목록에 넣었는데도 차단된다면? 경로를 추적하세요

VPN 앱이 보여 주는 주소를 허용 목록에 넣는 것만으로는 차단된 포트가 거의 해결되지 않으며, 그 이유는 패킷이 설명합니다. 방화벽이 여러분의 규칙을 무시하는 것이 아니라, 클라이언트 화면에는 전혀 표시되지 않는 출발지 주소를 평가하고 있습니다. 목적지가 그 값을 보고할 때까지 모든 규칙 수정은 추측입니다.

서비스에 도착하는 요청에서 시작하세요. 터널 주소, 출구 주소, 그 사이의 모든 변환은 목적지가 그중 하나를 확인할 때까지 가설로 남습니다.

앱에 보이는 주소는 도착하는 주소가 아닙니다

VPN 연결은 적어도 네 개의 주소를 나릅니다: 서버 엔드포인트, 클라이언트에 할당된 내부 터널 주소, 로컬 Wi-Fi 또는 이더넷 주소, 그리고 트래픽이 공급자를 떠난 뒤 웹사이트가 보는 공인 주소입니다. 클라이언트 창에는 두 번째만 보일 수 있습니다. 규칙을 이름 붙이기 전에 네 가지를 모두 이름 붙이세요. 분할 터널에서는 공인 목적지로 가는 요청이 터널을 완전히 건너뛸 수 있으므로, 실패하는 세션은 사용자가 시작했다고 생각하는 세션이 아닙니다.

이 네 가지 중 규칙이 허용하려는 대상이 무엇인지 정한 뒤 반대편에서 확인하세요. 요구 사항이 정말 사무실 주소라면 조건은 경로와 그 사이트의 출구 구성이며, Office VPN이라는 이름표가 붙은 연결이 그 둘 중 어느 것도 저절로 제공하지는 않습니다.

요청 하나를 필터링 경계까지 추적하세요

클라이언트가 쓰는 목적지 주소와 포트를 확인한 뒤, 이 목적지가 가정한 경로를 따르는지 점검하세요. 공개된 컨테이너 포트, 역방향 프록시, 포트 포워딩은 결정을 편집한 적 없는 호스트로 옮길 수 있습니다. 그 각 단계는 자체 정책을 가질 수 있습니다. 경로를 먼저 확정하면 어떤 패킷도 닿지 않는 규칙을 고치는 일을 피할 수 있습니다.

권한이 있는 Linux 호스트에서 변경하기 전에 활성 규칙을 순서대로 읽으세요. 포워딩된 서비스와 컨테이너 서비스는 흔히 자체 체인으로 점프하므로, 점프 대상과 최종 판정을 모두 확인하세요.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

티켓에 일치하는 규칙 번호를 적으세요. 그것이 없으면 다음 독자는 어느 수정이 결과를 바꿨는지 알 수 없습니다. 타임스탬프 없는 규칙 번호는 여전히 모호합니다.

제한된 캡처 하나로 경로를 확인하세요

무해한 요청 하나와 좁은 캡처 하나면 반복해서 돌아오는 질문이 정리됩니다. 목적지 포트와 조사 중인 호스트로 필터링하고, 패킷 수를 제한하며, 요청이 끝나는 즉시 캡처를 중지하세요.

tcpdump -ni any 'tcp dst port 9443' -c 20

캡처의 출발지, 일치하는 규칙이 가리키는 출발지, 애플리케이션이 기록한 거부라는 세 값을 나란히 비교하세요. 모두 다를 수 있고, IP 규칙이 결정한 드롭을 설명하는 것은 첫 번째뿐입니다. 전달된 HTTP 헤더는 프록시 계층에 속하므로, 그 헤더를 인용한 로그는 방화벽이 평가한 출발지를 설명하지 않습니다.

규칙만이 아니라 체인 순서를 읽으세요

iptables 참조 문서는 순서 있는 통과를 설명하므로, 일치하는 종단 거부 아래에 있는 허용은 패킷을 결코 구하지 못합니다. 이전에 수락된 연결은 새 연결과 다르게 동작할 수 있으므로, 오래된 성공은 새 규칙에 대해 아무것도 말해 주지 않습니다. 허용이 틀렸다고 가정하기 전에 허용 위에 있는 거부나 드롭을 찾으세요. 규칙별 카운터는 어느 규칙이 패킷을 보았는지도 알려 줍니다.

무슨 일이 일어나는지 보려고 규칙을 삭제하는 것은 관찰이 아니라 변경입니다. 카운터를 읽고, 규칙 번호를 적고, 원래 정책을 변경 기록에 남기세요. 시험이 불가피하다면 체인의 복사본에서 실행하세요.

소유자가 관리하는 규칙을 바꾸세요

의도한 출발지와 서비스 정책만, 그것을 소유한 사람을 통해 갱신하세요. 공유된 변환 출구는 한 번에 많은 사용자를 대표할 수 있으므로, 그 주소를 허용해도 누구도 인증되지 않으며, 그 뒤의 애플리케이션 권한은 그대로 남습니다.

주소가 계속 움직인다면 지속적인 답은 더 긴 예외 목록이 아니라 안정적인 출구나 인증된 채널입니다. 관찰한 출발지, 목적지 포트, 규칙 번호를 기록하세요.