VPN туташтырылды, бирок файрвол дагы эле тосот: кайсынысын кантип аныктоо керек

Туннель иштеп жатат, бирок бир порт дагы эле ишке ашпайт. Жолду окуп, анан ар бир катмардагы саясатты карап, эки башкаруунун бирин өчүрүүнүн ордуна эң кууш эрежени өзгөртүңүз.

Кардар туташтырылды дейт, ресурс дагы эле баш тартат, ал эми кийинки кадимки кадам — бир нерсени өчүрүү. Ошол сүйлөмдөгү эки башкаруу ар башка иштейт: VPN капталган трафик үчүн жол түзөт, файрвол ар бир туташуу боюнча трафиктин өтүүсүн чечет. Баш тарткан саясат менен иштеген туннель колдонуучунун ордунан так сынган туннелге окшошот, ошондуктан милдет — кайсы катмар жооп берип жатканын табуу. Мен ээрчиген тартип ушундай, токтоо керектигин айткан окуу менен бирге.

Жолду саясаттан бөлүңүз

Ишке ашпоонун формасынан баштаңыз, анткени бул бекер маалымат. Пакеттин түшүп калышы күтүү убактысын жаратат: кардар кайра аракет кылат, эч нерсе кайтпайт, буйрук багынганга чейин илинип турат. Баш тартуу баш тартуу же кайра коюу жаратат: бир нерсе жооп берип, жок деди. Укпаган тейлөө хосттун өзүндө баш тартат, эч кандай файрволсуз.

Бул үч натыйжа ар башка катмарларды көрсөтөт. Күтүү убактысы бир жерде саясат үнсүз таштап жатканын же жол машинадан эч качан чыкпай турганын билдирет. Баш тартылды дегени — хостко жеттиңиз, анын стеги же хосттогу файрвол баш тартты. Толук тынчтык, туннель интерфейси көтөрүлүп, барар жерге жол жок болсо, жол туура эмес жана эч бир файрвол эрежеси аны оңдобойт.

Жолду бир өтүүдө окуңуз

Бир эрежени да көрүүдөн мурун туннелдин барар жерди камтыганын текшериңиз. Кеңсе ички тармагын гана ташыган бөлүнгөн туннель сурамды башка диапазонго багыттабайт, ошондо ишке ашпоо файрвол тосуусундай көрүнөт, бирок андай эмес:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Жолдун чыгышы пакет кайсы интерфейстен чыгарын жана кайсы баштапкы даректи алып жүрөрүн айтат. Эгер ал интерфейс туннель эмес, сиздин физикалык тармак картаңыз болсо, маселе маршруттоодо же туннелдин уруксат берилген диапазондорунда, ал файрволго эмес, VPN конфигурациясына таандык.

VPNге мүнөздүү бир тузак өзүнчө текшерүүгө татыктуу. WireGuard'да өнөктөштүн AllowedIPs бир убакта жол жана криптографиялык чыпка: баштапкы дареги өнөктөштүн уруксат берилген жыйындысына туура келбеген пакет кандайдыр бир файрвол эрежеси каралганга чейин эле ыргытылат. Ошондуктан толук туура хост файрвол саясатка окшогон үнсүз ыргытуунун артында турушу мүмкүн, ал эми оңдоо — эреже эмес, ачкыч конфигурациясынын сабы.

Жооп берген катмардагы саясатты окуңуз

Жол туура болгондон кийин, саясатты хосттон сырткары карай жүрүп, эсептегичтери кыймылдаган ошол бир катмарды байкаңыз:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Угуп жаткан сокет эрежелерден башка суроого жооп берет. Портто эч нерсе укпаса, өзөк туташуудан баш тартат жана эч бир кирүү эрежеси тиешелүү эмес. Сокет бар болуп, алыскы кардардан туташуу убактысы бүтсө, жолдун бир жеринде ыргытуу болуп жатат, ал эми эрежелердин эсептегичтери бул ушул жерде болуп жатабы деп айтат.

Сырттан божомолдоонун ордуна шектенип жаткан профиль же чынжыр үчүн журналдоону күйгүзүңүз. Булакты, барар жерди жана портту атаган бир жазылган ыргытуу катмарды да, эрежени да аныктайт, ошондой эле пакеттин келгенин далилдейт, муну кардар тарабындагы эч бир сыноо аныктай албайт.

Туннель ошол жерде бүтсө, шлюздун чечимин окуңуз

Сайт-аралык же алыскы кирүү шлюзунда VPN колдонуучуну аутентификациялайт, саясат ресурска уруксат берет, булар өзүнчө уруксаттар. Туннелге киргизилген колдонуучуга ар бир ички хостко автоматтык түрдө уруксат берилбейт, ал эми баш тартуу көбүнчө туннелдин өзү соо кезде кайра багыттоо эрежесинен келет. Ошол эле бөлүнүү IPsec'те да көрүнөт: трафикти тандаган коопсуздук саясаты аны өткөргөн чыпкадан айырмаланат, ошондуктан экөө RFC 4301.

Кайтуу жолун чыгуу жолундай эле кылдат текшериңиз. Абалдык чыпкалоо жоопту көрүшү керек, ошондуктан туннель аркылуу бир багытта жана анын айланасы менен экинчи багытта асимметриялык маршруттоо кокустан көрүнгөн жана бир гана кардарлардан кайталанган ыргытууларды жаратат. Трафик шлюзге жетип токтосо, бир нерсени кеңейтүүдөн мурун кайра багыттоо эрежесин жана кайтуу жолун чогуу окуңуз.

Шлюз — NAT же маскировка эрежеси чыныгы булакты жашыра ала турган жер да. Ички хосттор кардардын ордуна шлюздун дарегин көрсө, кардар пулуна дал келиши керек болгон алардын хост файрвол эрежелери эч качан дал келбейт, ал эми оңдоо ар бир серверде эмес, шлюзде.

Эң кууш катмарды өзгөртүңүз, анан текшериңиз

Кенен оңдоого каршы турңуз. Хост файрволун өчүрүү, баарына уруксат берген эрежени кошуу же ар бир интерфейсти ишенимдүү профилге түртүү — ар бири өз ишин аткарып жаткан башкарууну алып салат, ал эми өзгөртүү окуядан кийин да калат. Булак диапазону жана тиешелүү порт менен чектелген эрежени карап чыгуу жеңил, алып салуу жеңил, жана машинанын калган саясатын бүтүн калтырат.

Ишке ашпаган ошол эле сыноо менен, ошол эле кардардан текшериңиз, анан кайра туташкандан кийин дагы бир жолу, анткени туннель кайра сүйлөшүүгө чейин дал келген эреже андан кийин дал келбей калышы мүмкүн:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Жабуудан мурун:

  • Барар жерге жол туннелдин интерфейсинен чыгат, баштапкы дарек саясат күткөнгө дал келет.
  • Портто бир нерсе угуп турат, ал эми баш тартуу же күтүү убактысы божомол эмес, аталган эрежеге таандык.
  • Шлюз эки багытта тең өткөрөт, барар жер эрежелериңиз жазылган булакты көрөт.
  • Сыноо өтүшү үчүн эч бир башкаруу өчүрүлгөн жок, ал эми сиз кылган өзгөртүү бир булак диапазонун жана бир портту атайт.

Тектеш макалалар