Ја додадовте VPN адресата во белата листа, а сѐ уште е блокирана? Следете ја

Додавањето на адресата што ја покажува VPN апликацијата во белата листа ретко поправа блокиран порт, а пакетот објаснува зошто. Ѕидот не го игнорира вашето правило; тој оценува изворна адреса што ништо на екранот на клиентот не ја покажува. Сѐ додека одредиштето не ја пријави таа вредност, секоја измена на правилото е претпоставка.

Започнете од барањето што пристигнува во услугата. Адресата на тунелот, излезната адреса и секое преведување помеѓу нив остануваат хипотези додека одредиштето не потврди една од нив.

Адресата во апликацијата не е онаа што пристигнува

VPN врската носи најмалку четири адреси што вреди да се именуваат одделно: крајната точка на серверот, внатрешната адреса на тунелот доделена на вашиот клиент, локалната Wi-Fi или Ethernet адреса и јавната адреса што ја гледа веб-страницата откако сообраќајот ќе го напушти провајдерот. Прозорецот на клиентот може да ја прикажува само втората. Именувајте ги сите четири пред да именувате правило. Со поделен тунел, барањата до јавно одредиште можат целосно да го заобиколат тунелот, така што неуспешната сесија не е онаа за која корисникот мисли дека ја започнал.

Одлучете која од тие четири треба да ја дозволи правилото, потоа проверете ја од другата страна. Ако барањето е навистина канцелариска адреса, условот е рутата плус излезното уредување на тоа место, а врската означена како Office VPN не дава ниту едно од двете сама по себе.

Следете едно барање до неговата граница на филтрирање

Потврдете ја одредишната адреса и портата што ги користи клиентот, потоа проверете дали ова одредиште го следи патот што го претпоставувате. Објавена порта на контејнер, обратен прокси или пренасочување на порта можат да ја преместат одлуката на домаќин што никогаш не сте го уредувале. Секој од тие скокови може да носи сопствена политика. Воспоставувањето на патот прво ве штеди од поправање на правило што ниту еден пакет не го достигнува.

На овластен Linux домаќин, прочитајте ги живите правила по ред пред да ги менувате. Пренасочените и контејнерските услуги често скокаат во сопствен синџир, затоа прегледајте ја целта на скокот, како и конечната пресуда.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Наведете го соодветниот број на правило во тикетот. Без него следниот читател не може да знае која измена го променила резултатот. Број на правило без временски печат сѐ уште е двосмислен.

Проверете го патот со едно ограничено снимање

Едно безопасно барање и едно тесно снимање го решаваат прашањето што постојано се враќа. Филтрирајте по одредишната порта и домаќинот што се истражува, ограничете го бројот на пакети и запрете го снимањето веднаш штом барањето ќе заврши.

tcpdump -ni any 'tcp dst port 9443' -c 20

Споредете три вредности една до друга: изворот во снимањето, изворот што го наведува соодветното правило и одбивањето што го забележала апликацијата. Тие можат сите да се разликуваат, и само првиот објаснува паѓање одредено од IP правило. Пренесеното HTTP заглавие припаѓа на прокси слојот, затоа дневникот што го цитира тоа заглавие не го опишува изворот што ѕидот го оценил.

Читајте го редот на синџирот, не само правилото

iptables референцата документира уредно поминување, затоа дозволата што стои под соодветно конечно одбивање никогаш не го спасува пакетот. Претходно прифатена врска може да се однесува поинаку од нова, така што стариот успех не кажува ништо за новото правило. Најдете го одбивањето или паѓањето над вашата дозвола пред да претпоставите дека дозволата е погрешна. Бројачите по правило исто така кажуваат кое правило го видело пакетот.

Бришењето правило за да се види што ќе се случи е измена, а не набљудување. Прочитајте ги бројачите, забележете го бројот на правилото и чувајте ја оригиналната политика во записот за измени. Ако тестот е неизбежен, извршете го на копија од синџирот.

Променете го правилото што го контролира неговиот сопственик

Ажурирајте ја само предвидената политика за извор и услуга, преку тој што ја поседува. Споделен преведен излез може да претставува многу корисници одеднаш, затоа дозволувањето на таа адреса не автентицира никого, а дозволите на апликацијата зад неа остануваат таму каде што се.

Кога адресата продолжува да се движи, трајниот одговор е стабилен излез или автентициран канал, а не подолг список на исклучоци. Забележете го набљудуваниот извор, одредишната порта и бројот на правилото.