VPN adresi iekļāvāt baltajā sarakstā, bet joprojām bloķē? Izsekojiet to

VPN lietotnes rādītās adreses iekļaušana baltajā sarakstā reti izlabo bloķētu portu, un kāpēc, to skaidro pati pakete. Ugunsmūris neignorē jūsu noteikumu; tas novērtē avota adresi, ko nekas klienta ekrānā nerāda. Kamēr galamērķis neziņo šo vērtību, katrs noteikuma labojums ir minējums.

Sāciet ar pieprasījumu, kas nonāk pakalpojumā. Tunela adrese, izejas adrese un jebkura pārvēršana starp tām paliek hipotēzes, līdz galamērķis apstiprina kādu no tām.

Lietotnē redzamā adrese nav tā, kas pienāk

VPN savienojums nes vismaz četras adreses, ko ir vērts nosaukt atsevišķi: servera galapunktu, jūsu klientam piešķirto iekšējo tuneļa adresi, vietējo Wi-Fi vai Ethernet adresi un publisko adresi, ko vietne redz pēc tam, kad trafiks ir atstājis pakalpojumu sniedzēju. Klienta logs var rādīt tikai otro. Nosauciet visas četras, pirms nosaukt noteikumu. Sadalītā tunelī pieprasījumi uz publisku galamērķi var pilnībā apiet tuneli, tāpēc nespējīgā sesija nav tā, kuru lietotājs domā esam sācis.

Izlemiet, kurai no šīm četrām noteikumam jāatļauj, un pēc tam pārbaudiet to no otras puses. Ja prasība patiešām ir biroja adrese, nosacījums ir maršruts plus attiecīgās vietas izejas kārtība, un savienojums ar apzīmējumu Office VPN pats par sevi nesniedz ne vienu, ne otru.

Izsekojiet vienu pieprasījumu līdz tā filtrēšanas robežai

Apstipriniet galamērķa adresi un portu, ko izmanto klients, un pēc tam pārbaudiet, vai šis galamērķis seko jūsu pieņemtajam ceļam. Publicēts konteinera ports, apgrieztais starpniekserveris vai porta pāradresācija var pārcelt lēmumu uz resursdatoru, kuru jūs nekad neesat rediģējis. Katrs no šiem lēcieniem var nest savu politiku. Ceļa noteikšana vispirms pasargā jūs no tāda noteikuma labošanas, kuru nesasniedz neviena pakete.

Autorizētā Linux resursdatorā pirms maiņas izlasiet aktīvos noteikumus secīgi. Pāradresētie un konteineru pakalpojumi bieži lec savā ķēdē, tāpēc pārbaudiet gan lēciena mērķi, gan galīgo spriedumu.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Biļetē norādiet atbilstošā noteikuma numuru. Bez tā nākamais lasītājs nevar zināt, kurš labojums mainīja rezultātu. Noteikuma numurs bez laika zīmoga joprojām ir neskaidrs.

Pārbaudiet ceļu ar vienu ierobežotu ierakstu

Viens nekaitīgs pieprasījums un viens šaurs ieraksts atrisina jautājumu, kas atgriežas atkal un atkal. Filtrējiet pēc galamērķa porta un izmeklējamā resursdatora, ierobežojiet pakešu skaitu un pārtrauciet ierakstu, tiklīdz pieprasījums ir pabeigts.

tcpdump -ni any 'tcp dst port 9443' -c 20

Salīdziniet trīs vērtības blakus: avotu ierakstā, avotu, ko nosauc atbilstošais noteikums, un atteikumu, ko reģistrējusi lietotne. Tie visi var atšķirties, un tikai pirmais izskaidro nomešanu, ko noteicis IP noteikums. Pāradresēta HTTP galvene pieder starpniekservera slānim, tāpēc žurnāls, kas citē šo galveni, neapraksta avotu, ko ugunsmūris novērtēja.

Lasiet ķēdes secību, ne tikai noteikumu

iptables uzziņa dokumentē sakārtotu caureju, tāpēc atļauja, kas atrodas zem atbilstoša galīga atteikuma, nekad neglābj paketi. Agrāk pieņemts savienojums var arī izturēties citādi nekā jauns, tāpēc vecs panākums neko neizsaka par jauno noteikumu. Atrodiet atteikumu vai nomešanu virs savas atļaujas, pirms pieņemat, ka atļauja ir nepareiza. Skaitītāji katram noteikumam arī pasaka, kurš noteikums redzēja paketi.

Noteikuma dzēšana, lai redzētu, kas notiks, ir izmaiņa, nevis novērojums. Izlasiet skaitītājus, pierakstiet noteikuma numuru un saglabājiet sākotnējo politiku izmaiņu žurnālā. Ja tests ir neizbēgams, izpildiet to ķēdes kopijā.

Mainiet noteikumu, ko kontrolē tā īpašnieks

Atjauniniet tikai paredzēto avota un pakalpojuma politiku, ar tā starpniecību, kam tā pieder. Koplietota tulkota izeja var pārstāvēt daudzus lietotājus vienlaikus, tāpēc šīs adreses atļaušana nevienu neautentificē, un lietotnes atļaujas aiz tās paliek tur, kur ir.

Kad adrese turpina kustēties, ilgtspējīgā atbilde ir stabila izeja vai autentificēts kanāls, nevis garāks izņēmumu saraksts. Pierakstiet novēroto avotu, galamērķa portu un noteikuma numuru.