D’VPN-Adress op d’wäiss Lëscht gesat an nach ëmmer blockéiert? Spuert se

D’Adress, déi eng VPN-App weist, op d’wäiss Lëscht ze setzen, fléckt seelen en blockéierte Port, an de Paket erkläert firwat. D’Firewall ignoréiert Är Regel net; se bewäert eng Quelladress, déi näischt um Clientbildschierm weist. Bis d’Destinatioun dëse Wäert mëldet, ass all Regelännerung eng Vermutung.

Fänkt mat der Ufro un, déi beim Service ukommt. D’Tunneladress, d’Ausgangsadress an all Iwwersetzung dertëschent bleiwen Hypotheesen, bis d’Destinatioun eng dovun confirméiert.

D’Adress an der App ass net déi, déi ukommt

Eng VPN-Verbindung dréit op d’mannst véier Adressen, déi et wäert sinn eenzel ze nennen: den Endpunkt vum Server, déi bannenzeg Tunneladress, déi Ärem Client zougewise gouf, déi lokal Wi-Fi- oder Ethernet-Adress, an d’ëffentlech Adress, déi eng Websäit gesäit, nodeems den Traffic de Provider verlooss huet. D’Clientfënster weist vläicht nëmmen déi zweet. Nennt all véier, ier Dir eng Regel nennt. Bei gedeeltem Tunnel kënnen Ufroen un eng ëffentlech Destinatioun den Tunnel ganz ëmgoen, dofir ass d’Sessioun, déi feelt, net déi, déi de Benotzer mengt ugefaangen ze hunn.

Decidéiert, wéi eng vun dëse véier d’Regel erlaabe soll, a verifizéiert se du vun der anerer Säit. Wann d’Ufuerderung wierklech eng Büroadress ass, ass d’Konditioun d’Route plus d’Ausgangsopstellung vun deem Site, an eng Verbindung mam Label Office VPN liwwert keent vun deenen zwee vu sech aus.

Spuert eng Ufro bis zu hirer Filtergrenz

Confirméiert d’Destinatiounsadress an de Port, déi de Client benotzt, a kontrolléiert du, datt dës Destinatioun de Wee follegt, deen Dir unhëlt. En ëffentleche Containerport, en ëmgedréinte Proxy oder eng Portweiderleitung kënnen d’Entscheedung op en Host verréckelen, deen Dir ni geännert hutt. Jiddereen vun dëse Spréng kann seng eege Politik droen. De Wee fir d’éischt festleeën spuert Iech, eng Regel ze flécken, déi kee Paket je erreecht.

Op engem autoriséierte Linux-Host liest d’aktiv Regelen der Rei no, ier Dir se ännert. Weidergeleet an Container-Servicer spréngen dacks an hir eege Kette, dofir kuckt souwuel d’Sprongzil wéi och de leschte Verdikt un.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Zitéiert déi passend Regelnnummer am Ticket. Ouni déi kann den nächste Lieser net wëssen, wéi eng Ännerung d’Resultat geännert huet. Eng Regelnnummer ouni Zäitstempel ass nach ëmmer zweedeiteg.

Verifizéiert de Wee mat enger begrenzter Opnam

Eng harmlos Ufro an eng schmuel Opnam entscheeden d’Fro, déi ëmmer erëm zréckkënnt. Filtert nom Destinatiounsport an dem Host, deen ënnersicht gëtt, begrenzt d’Zuel vu Paketen, a stoppt d’Opnam, soubal d’Ufro fäerdeg ass.

tcpdump -ni any 'tcp dst port 9443' -c 20

Vergläicht dräi Wäerter niewenteneen: d’Quell an der Opnam, d’Quell, déi déi passend Regel nennt, an d’Oflehnung, déi d’Applikatioun geloggt huet. Se kënnen all verschidde sinn, an nëmmen déi éischt erkläert en Drop, deen eng IP-Regel decidéiert huet. En weidergeleet HTTP-Header gehéiert zur Proxy-Schicht, dofir beschreift e Log, deen deen Header zitéiert, net d’Quell, déi d’Firewall bewäert huet.

Liest d’Reiefolleg vun der Kette, net just d’Regel

D’iptables-Referenz dokumentéiert den uerdentlechen Duerchgang, dofir rett eng Erlaabnes ënner enger passender terminaler Oflehnung de Paket ni. Eng Verbindung, déi virdru akzeptéiert gouf, kann sech och anescht behuelen wéi eng nei, dofir seet en ale Succès näischt iwwer déi nei Regel. Fannt d’Oflehnung oder den Drop iwwer Ärer Erlaabnes, ier Dir unhëlt, datt d’Erlaabnes falsch ass. D’Zähler pro Regel soen Iech och, wéi eng Regel de Paket gesinn huet.

Eng Regel läschen, fir ze kucken, wat geschitt, ass eng Ännerung, keng Observatioun. Liest d’Zähler, notéiert d’Regelnnummer, a behält d’Originalpolitik am Ännerungslog. Wann en Test onvermeidlech ass, fuert en op enger Kopie vun der Kette.

Ännert d’Regel, déi hire Besëtzer kontrolléiert

Aktualiséiert nëmmen déi virgesinn Quell- a Servicepolitik, iwwer deen, deen se besëtzt. En gedeelten iwwersatten Ausgang kann vill Benotzer gläichzäiteg vertrieden, dofir authentifizéiert d’Erlaabnes vun där Adress keen, an d’Applikatiounsberechtegungen hannendrun bleiwen, wou se sinn.

Wann d’Adress sech weider beweegt, ass d’dauerhaft Äntwert en stabile Ausgang oder en authentifizéierte Kanal, net eng méi laang Ausnamlëscht. Notéiert d’observéiert Quell, den Destinatiounsport an d’Regelnnummer.