VPN verbonnen, awer d'Firewall blockéiert nach: wéi een feststellt wéien

De Client seet verbonnen, d'Ressource refuséiert nach, an den üblechen nächste Schrëtt ass eppes auszeschalten. Déi zwou Kontrollen an deem Saz maachen ënnerschiddlech Aarbecht: d'VPN baut e Wee fir den ofgedeckte Verkehr, an eng Firewall entscheet pro Verbindung ob de Verkehr duerch däerf. En funktionéierenden Tunnel mat enger Politik déi refuséiert gesäit vum Stull vum Benotzer genau wéi en defekten Tunnel aus, also ass d'Aufgab erauszefannen wéi eng Schicht äntwert. Hei ass d'Uerdnung déi ech befollegen, mat dem Liesen dat iech seet opzehalen.

Trennt de Wee vun der Politik

Fänkt mat der Form vum Feeler un, well dat ass gratis Informatioun. En ofgeworfene Paket mécht en Timeout: de Client probéiert et nach eng Kéier, näischt kënnt zréck, an de Kommando hänkt bis en opgëtt. Eng Oflehnung mécht eng Verweigerung oder en Reset: eppes huet geäntwert a sot nee. En Déngscht deen net lauschtert refuséiert um Host selwer, ganz ouni Firewall.

Déi dräi Resultater weisen op ënnerschiddlech Schichten. Timeout heescht datt eng Politik irgendwou stëll verwerft, oder datt de Wee d'Maschinn ni verléisst. Refuséiert heescht datt dir den Host erreecht hutt an säi Stack oder seng lokal Firewall ofgelehnt huet. Ganz Stëllt, mat dem Tunnel-Interface uewen an ouni Wee zum Zil, heescht datt de Wee falsch ass an keng Firewall-Regel dat reparéiert.

Liest de Wee an engem Duerchgang

Bestätegt datt den Tunnel d'Zil deckt ier dir eng eenzeg Regel ukuckt. En opgedeilten Tunnel deen nëmmen den Büro-Subnet dréit wäert eng Ufro net an en anere Beräich routeren, an dann gesäit de Feeler aus wéi eng Firewall-Blockade déi keng ass:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

D'Ausgab vum Wee nennt d'Interface duerch déi de Paket erausgeet an d'Quelladress déi en dréit. Wann déi Interface deng physesch Netzwierkkarte ass an net den Tunnel, dann ass de Problem am Routing oder an den erlaabte Beräicher vum Tunnel, an et gehéiert zur VPN-Konfiguratioun an net zur Firewall.

Eng Fal déi spezifesch fir VPN ass verdéngt eng eege Kontroll. An WireGuard ass AllowedIPs vun engem Peer gläichzäiteg e Wee an e kryptografesche Filter: e Paket deem seng Quelladress net zum erlaabte Set vum Peer passt gëtt verworfen ier eng Firewall-Regel consultéiert gëtt. Also kann eng komplett korrekt Host-Firewall hannert engem stëllen Verwerfe stoen deen wéi eng Politik ausgesäit, an de Fix ass eng Konfiguratiounszeil fir de Schlëssel, net eng Regel.

Liest d'Politik op der Schicht déi äntwert

Wann de Wee richteg ass, gitt d'Politik vum Host no baussen duerch a kuckt op déi eng Schicht där hir Comptoire sech beweegen:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

De lauschterende Socket äntwert op eng aner Fro wéi d'Regelen. Wann näischt op der Port lauschtert, refuséiert de Kernel d'Verbindung an keng erakomm Regel ass relevant. Wann de Socket existéiert an d'Verbindung vun engem remote Client leeft of, geschitt irgendwou um Wee en Verwerfen, an d'Comptoire vun de Regelen soen iech ob et hei geschitt.

Schalt d'Logging an fir de Profil oder d'Kette deen dir verdächtegt amplaz vu baussen ze roden. Een geloggt Verwerfe mat Quell, Zil a Port identifizéiert d'Schicht an d'Regel, an et beweist och datt de Paket ukomm ass, wat keng Tester vun der Clientsäit feststelle kann.

Liest d'Entscheedung vum Gateway wann den Tunnel do ophält

Op engem Site-zu-Site- oder Fernzougangs-Gateway authentifizéiert d'VPN e Benotzer an d'Politik autoriséiert eng Ressource, an dat sinn getrennte Bewëllegungen. Ee Benotzer deen an den Tunnel eragelooss gëtt ass net automatesch op all internen Host eragelooss, an d'Oflehnung kënnt dacks vun enger Weiderleitungsregel während den Tunnel selwer gesond ass. Déi selwecht Trennung gëtt et am IPsec, wou d'Sécherheetspolitik déi de Verkehr auswielt sech vum Filter ënnerscheet deen en eraloosst, an dofir sinn déi zwee als ënnerschiddlech Mechanismen dokumentéiert an RFC 4301.

Kuckt de Réckwee grad esou suergfälteg un wéi de Hiwee. Stateful Filtering muss d'Äntwert gesinn, also mécht asymmetrescht Routing duerch den Tunnel an eng Richtung an ëm en an déi aner Verwerfungen déi zoufälleg ausgesinn an sech nëmmen aus e puer Cliente reproduzéieren. Wann de Verkehr de Gateway erreecht an ophält, liest d'Weiderleitungsregel an de Réckwee zesummen ier dir eppes verbreetert.

De Gateway ass och d'Plaz wou eng NAT- oder Maskerade-Regel déi richteg Quell verstoppe kann. Wann intern Hosten d'Gateway-Adress gesinn amplaz vum Client, da wäerten hir Host-Firewall-Regelen déi zum Client-Pool passe sollen ni passen, an de Fix gehéiert op de Gateway an net op all Server.

Ännert déi engst Schicht, dann kontrolléiert

Widderstitt der breeder Reparatur. D'Host-Firewall ausschalten, eng Regel déi alles erlaabt dobäisetzen oder all Interface an en vertraute Profil zwängen hëlt all Kéier d'Kontroll ewech déi seng Aarbecht gemaach huet, an d'Ännerung iwwerlieft den Tëschefall. Eng Regel limitéiert op de Quellberäich an de betraffene Port ass méi einfach z'iwwerpréiwen, méi einfach ze läschen, an et léisst de Rescht vun der Politik vun der Maschinn intakt.

Kontrolléiert mat dem selwechten Test deen duerchgefall ass, vum selwechte Client, an dann nach eng Kéier no enger nei Verbindung, well eng Regel déi passt ier den Tunnel nei verhandelt kann duerno ophalen ze passen:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Ier dir et zoumécht:

• De Wee zum Zil geet duerch d'Tunnel-Interface eraus, an d'Quelladress entsprécht deem wat d'Politik erwaart.
• Eppes lauschtert op der Port, an d'Oflehnung oder den Timeout gëtt enger genannter Regel zougeschriwwen amplaz ugeholl.
• De Gateway leet a béid Richtungen weider, an d'Zil gesäit d'Quell fir déi deng Regelen geschriwwe goufen.
• Keng Kontroll gouf ausgeschalt fir den Test ze packen, an d'Ännerung déi dir gemaach hutt nennt ee Quellberäich an ee Port.