Firewall VPNди тосуп жатабы? Этап-этабы менен текшерүү

Бир VPN таймауту пайдалуу жооп келбегенин далилдейт жана себеби тууралуу эч нерсени далилдебейт. Профиль туура эмес портту көрсөтүшү мүмкүн, сервер өчүк болушу мүмкүн, же сурам иштеген кайтаруу жолу жок келиши мүмкүн. Алардын ар бири башка из калтырат, ал эми кайсы эрежеге тийүү керектигин ошол из айтат. Төмөнкү төрт этапты тартиби менен аткарыңыз. Кайсынысы белгини түшүндүрсө, ошол жерде токтоңуз.

1-этап: серверди жана транспортту ырастаңыз

Сервердин атын, транспортун жана портун жергиликтүү өзгөртүүдөн эмес, оператордун учурдагы профилинен окуңуз. Ноутбугуңузда өзгөртүлгөн порт коомдук серверде угуучу түзө албайт, жана бул дал келбестик тосууга окшош таймаут берет. Профиль колдоого алынган альтернативдик транспорт сунуштаса, аны чечим катары эмес, камдык вариант катары жаздырыңыз. Атын чечип, жоопту оператор жарыялаган дарек менен салыштырыңыз.

Эскирген DNS жазуусу кардарды эч качан жооп бербеген хостко жиберет. Бул да чыпканы туураган башка бузулуу, аны четтетүү бир суроого турат.

Эки маанини тең билетке жазыңыз. Кийинки ар бир салыштыруу аларды колдонот, ал эми аларсыз билет иликтөөнү кайра баштайт.

2-этап: жолду бир көзөмөлдөнгөн салыштыруу менен далилдеңиз

Түзмөктү жана профилди өзгөртпөй, башка ишенимдүү кирүү тармагын сынап көрүңүз. Туннель ошол жерде көтөрүлсө, айырма баштапкы жолдо же анын саясатында. Экинчи уруксат берилген түзмөк баштапкы тармакта иштесе, айырма биринчи түзмөктө. Ошол эки салыштыруунун бири дээрлик ар дайым чечүүчү.

Алгач кандайдыр бир мыйзамдуу тармакка кирүүнү бүтүрүңүз, анткени туткун портал бүтпөйүнчө тосууга окшош көрүнөт.

Чындыгында колдонгон портту текшериңиз жана TCP жыйынтыгын TCP тууралуу гана маалымат катары кабыл алыңыз.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

443 портунда ийгиликтүү TCP кол алышуу ошол жерде угуучу жооп бергенин билдирет. Ал 51820 портундагы UDP угуучу тууралуу жана сүйлөшүүнүн бүткөндүгү тууралуу эч нерсе айтпайт.

3-этап: ийгиликсиздик учурундагы коопсуздук окуяларын окуңуз

Firewall окуялары — жеткиликтүү эң күчтүү далил, жана алардын алдын ала айтууга татыктуу эскертүүсү бар. Көптөгөн демейки профилдерде журнал жүргүзүү өчүк, ошондуктан бош журналды күнөөсүздүктүн далили катары окуудан мурун тиешелүү профиль таштоолорду жазабы, аны текшериңиз. Журнал күйгүзүлгөндө окуя эрежени, багытты жана даректерди көрсөтөт, бул эрежени өзгөртүүгө так керектүү нерсе. Колдонмо эрежелери жана порт эрежелери өзүнчө объектилер, ал эми башкарылуучу саясат жергиликтүү параметрди басып алышы мүмкүн. Эреженин кайсы кардарды жана кайсы кызматты чынында камтый турганын ырастаңыз.

Профиль абалын жана акыркы окуяларды жанындагы хосттон эмес, ийгиликсиз болгон машинадан чогултуңуз.

Окуянын убактысын өз сынооңуздун убактысы менен салыштырыңыз, анткени башка убакыт белгиси менен дал келген эреже аты кокустук.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Өзүңүз башкарган серверде сурам угуучуга жеттиби, ошону сураңыз. Жоопсуз келген пакет — жөнөтүү же кайтаруу жолунун маселеси. Эч качан көрүнбөгөн сурам — чыпкалоо же даректөө маселеси.

4-этап: туннель көтөрүлгөндөн кийин жөнөтүүнү текшериңиз

Firewall сессияга уруксат берип, анын жетүүсү керек болгон нерселердин баарын баш тарта алат. Жөнөтүү sysctl, NAT эрежелери жана кайтаруу жолдору баары аутентификациядан кийин турат, ал эми VPN порту үчүн кенен жеңилдик алардын эч бирин оңдобойт. Бир ички багыттоону жана бир интернет багыттоосун өзүнчө текшериңиз, анткени алар адатта ар башка себептерден ийгиликсиз болот. Ички аттар ийгиликсиз болуп, даректер иштесе, кандайдыр бир эрежеден мурун түртүлгөн DNS караңыз.

Кардар туташып, ийгиликсиз сурамды жасап жатканда серверде төмөнкү үч текшерүүнү аткарыңыз.

Туннель интерфейсиндеги эсептегичтер — негизги нерсе, анткени алар пакеттердин киргенин жана бир нерсенин чыкканын көрсөтөт.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Пакеттер туннелге келип, багыттоого эч нерсе чыкпаса, шектүү — жөнөтүү же NAT. Эч нерсе келбесе, сессия көтөрүлгөн, бирок кардар жибербейт, ал эми кароочу жер — кардардын маршрут таблицасы.

Оңдоону текшерип, жардам бербегенди алып салыңыз

Бекитилген оңдоодон кийин ийгиликсиз болгон так ошол сыноону кайталап, жыйынтыкты ошол эле профиль жана түзмөк боюнча жазыңыз. Андан кийин жыйынтыкты өзгөртпөгөн ар кандай убактылуу жеңилдикти алып салыңыз, анткени колдонулбаган жеңилдиктер чогулат жана ар бири эч ким эсинде сактабаган чечим. Калганын тар кармаңыз: бир багыттоо, бир порт, бир багыт, бир ээси.

Ошол эле үч буйрукту кайра иштетип, өзгөртүүгө чейин сактаган чыгарылыштар менен салыштырыңыз.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Салыштыруу тармагы иштеп, баштапкы тармак дагы эле ийгиликсиз болуп, окуялар бош калса, калган шектүү — хост эмес, жол. Аны тармак ээсине так билдирүү катары, эки салыштыруу жыйынтыгын тиркеп бериңиз. Бул өчүрүлгөн firewall профилинен көрө токтоого жакшыраак жер.