Firewall VPN-ийг блоклож байна уу? Алхам алхмаар шалгах

Нэг VPN хугацаа дуусах нь ашиглах боломжтой хариу ирээгүйг л нотолж, шалтгааны талаар юу ч нотлохгүй. Профайл буруу порт зааж болно, сервер унтарсан байж болно, эсвэл хүсэлт ажиллаж буй буцах замгүй ирж болно. Эдгээр тус бүр өөр ул мөр үлдээдэг бөгөөд аль дүрэмд хүрэхийг тэр ул мөр хэлж өгнө. Доорх дөрвөн үе шатыг дараалан гүйцэтгэ. Аль нэг нь шинж тэмдгийг тайлбарламагц зогс.

1-р шат: сервер болон тээврийг баталгаажуул

Серверийн нэр, тээвэр, портыг локал өөрчлөлтөөс биш, операторын одоогийн профайлаас унш. Зөөврийн компьютер дээр өөрчилсөн порт нийтийн сервер дээр сонсогч үүсгэж чадахгүй бөгөөд энэ зөрүү блоктой ижил хугацаа дуусахыг үүсгэдэг. Профайл дэмжигдсэн өөр тээвэр санал болговол үүнийг шийдэл биш, нөөц хувилбар гэж тэмдэглэ. Нэрийг шийдэж, хариуг операторын нийтэлсэн хаягтай харьцуул.

Хуучирсан DNS бичлэг клиентийг хэзээ ч хариу өгөөгүй хост руу илгээдэг. Энэ нь шүүлтүүрийг дуурайсан өөр гэмтэл бөгөөд үүнийг хасахад нэг асуулга хангалттай.

Хоёр утгыг тикетэд бич. Дараагийн бүх харьцуулалт тэдгээрийг ашигладаг бөгөөд тэдгээргүй тикет мөрдөн шалгалтыг дахин эхлүүлдэг.

2-р шат: замыг нэг хяналттай харьцуулалтаар нотол

Төхөөрөмж болон профайлыг өөрчлөхгүй үлдээж, өөр итгэмжлэгдсэн хандалтын сүлжээг турш. Тэнд туннель босвол ялгаа нь анхны зам эсвэл түүний бодлого. Анхны сүлжээнд хоёр дахь зөвшөөрөгдсөн төхөөрөмж ажиллавал ялгаа нь эхний төхөөрөмж. Эдгээр хоёр харьцуулалтын нэг нь бараг үргэлж шийдвэрлэхүйц.

Эхлээд аливаа хууль ёсны сүлжээний нэвтрэлтийг дуусга, учир нь олзлогдсон портал дуусах хүртэл блок мэт харагдана.

Өөрөө бодитоор ашигладаг портыг шалгаж, TCP-ийн үр дүнг зөвхөн TCP-ийн тухай мэдээлэл гэж үз.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

443 порт дээр амжилттай TCP гар барих нь тэнд сонсогч хариу өгснийг илэрхийлнэ. Энэ нь 51820 портын UDP сонсогчийн тухай, хэлэлцээр дууссан эсэхийн тухай юу ч хэлэхгүй.

3-р шат: бүтэлгүйтсэн мөчийн аюулгүй байдлын үйл явдлуудыг унш

Firewall-ийн үйл явдлууд бол боломжтой хамгийн хүчтэй нотолгоо бөгөөд тэдгээрт эхлээд хэлэх ёстой нэг тайлбар бий. Олон анхдагч профайлд бүртгэл унтарсан байдаг тул хоосон бүртгэлийг гэм зэмгүйн нотолгоо гэж уншихаас өмнө холбогдох профайл хасалтуудыг бүртгэдэг эсэхийг шалга. Бүртгэл асаалттай үед үйл явдал дүрэм, чиглэл, хаягуудыг заадаг бөгөөд энэ нь дүрэм өөрчлөхөд яг хэрэгтэй зүйл. Аппликейшны дүрэм болон портын дүрэм нь тусдаа объект бөгөөд удирдлагын бодлого локал тохиргоог дарж болно. Дүрэм яг аль клиент, аль үйлчилгээг хамарч байгааг баталгаажуул.

Профайлын төлөв болон сүүлийн үйл явдлуудыг бүтэлгүйтсэн машинаас цуглуул, хөрш хостээс биш.

Үйл явдлын цагийг өөрийн туршилтын цагтай харьцуул, учир нь өөр цагийн тэмдэгтэй ижил дүрмийн нэр нь санамсаргүй тохиол.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Өөрийн удирддаг сервер дээр хүсэлт сонсогчд хүрсэн эсэхийг асуу. Хариугүй ирсэн пакет нь дамжуулалт эсвэл буцах замын асуудал. Хэзээ ч харагдахгүй хүсэлт нь шүүлт эсвэл хаяглалтын асуудал.

4-р шат: туннель боссны дараа дамжуулалтыг шалга

Firewall сессийг зөвшөөрч, сессийн хүрэхийг хүсч буй бүхнийг үгүйсгэж болно. Дамжуулалтын sysctl, NAT дүрэм, буцах замууд бүгд нэвтрүүлэлтийн дараа байрладаг бөгөөд VPN портын өргөн чөлөөлөлт тэдгээрийн аль нэгийг ч засдаггүй. Нэг дотоод очих газрыг, нэг интернэт очих газрыг тус тусад нь шалга, учир нь тэд ихэвчлэн өөр шалтгаанаар бүтэлгүйтдэг. Дотоод нэрс бүтэлгүйтэж, хаягууд ажиллаж байвал ямар ч дүрмээс өмнө түлхэгдсэн DNS-ийг хар.

Клиент холбогдсон бөгөөд бүтэлгүйтэж буй хүсэлтийг оролдож байх үед сервер дээр доорх гурван шалгалтыг гүйцэтгэ.

Туннелийн интерфейсийн тоолуурууд нь гол зүйл, учир нь пакетууд орсон эсэх, ямар нэг зүйл гарсан эсэхийг харуулдаг.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Туннель руу пакетууд ирж, очих газар руу юу ч гарахгүй бол сэжигтэн нь дамжуулалт эсвэл NAT. Юу ч ирэхгүй бол сесс боссон боловч клиент илгээхгүй байгаа бөгөөд харах газар нь клиентийн маршрутын хүснэгт.

Засварыг шалгаж, тус болоогүйг хасаж устга

Батлагдсан засварын дараа бүтэлгүйтсэн яг тэр туршилтыг давтаж, үр дүнг ижил профайл болон төхөөрөмжид тэмдэглэ. Дараа нь үр дүнг өөрчлөөгүй аливаа түр зуурын чөлөөлөлтийг устга, учир нь ашиглагдаагүй чөлөөлөлтүүд хуримтлагдаж, тус бүр нь хэн ч санахгүй шийдвэр болдог. Үлдсэнийг нарийн бари: нэг очих газар, нэг порт, нэг чиглэл, нэг эзэн.

Мөн тэр гурван командыг дахин ажиллуулж, өөрчлөлтийн өмнө хадгалсан гаралттай харьцуул.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Харьцуулах сүлжээ ажиллаж, анхны сүлжээ бүтэлгүйтсээр, үйл явдлууд хоосон хэвээр байвал үлдсэн сэжигтэн нь хост биш, зам. Хоёр харьцуулалтын үр дүнг хавсарган сүлжээний эзэнд тодорхой мэдэгдэл хэлбэрээр хүлээлгэж өг. Энэ нь унтраасан firewall профайлаас илүү зогсох сайн газар.