VPN хаягийг зөвшөөрөгдсөн жагсаалтад нэмсэн ч блоклогдсоор байна уу? Мөшгиж үзээрэй

VPN аппын харуулж буй хаягийг зөвшөөрөгдсөн жагсаалтад нэмэх нь блоклогдсон портыг ховор засдаг бөгөөд яагаад гэдгийг пакет өөрөө тайлбарладаг. Галт хана таны дүрмийг үл тоомсорлож байгаа юм биш; клиентийн дэлгэц дээр юу ч харуулахгүй эх хаягийг үнэлж байна. Очих газар тэр утгыг мэдэгдэх хүртэл дүрмийн бүр засвар нь таамаг юм.

Үйлчилгээнд хүрч буй хүсэлтээс эхэл. Туннелийн хаяг, гарах хаяг болон тэдгээрийн хоорондын аливаа хөрвүүлэлт нь очих газар аль нэгийг нь баталгаажуулах хүртэл таамаглал хэвээр байна.

Апп дахь хаяг нь хүрч буй хаяг биш

VPN холболт дор хаяж дөрвөн хаягийг агуулдаг бөгөөд тэдгээрийг тусад нь нэрлэх нь зүйтэй: серверийн төгсгөлийн цэг, таны клиентэд олгосон дотоод туннелийн хаяг, локал Wi-Fi эсвэл Ethernet хаяг, трафик нийлүүлэгчээс гарсны дараа вэбсайтын хардаг нийтийн хаяг. Клиентийн цонх зөвхөн хоёр дахь хаягийг харуулж магадгүй. Дүрмийг нэрлэхээс өмнө дөрвийг нь нэрлэ. Хуваасан туннелийн үед нийтийн очих газар руу чиглэсэн хүсэлтүүд туннелийг бүрмөсөн тойрч болох тул бүтэлгүйтсэн сесс нь хэрэглэгч эхэлсэн гэж бодож буй сесс биш юм.

Энэ дөрвийн алийг нь дүрэм зөвшөөрөх ёстойг шийдээд, нөгөө талаас нь шалга. Хэрэв шаардлага үнэхээр оффисын хаяг бол нөхцөл нь маршрут болон тухайн сайтын гарах зохион байгуулалт бөгөөд Office VPN гэсэн шошготой холболт нь хоёуланг нь дангаараа өгдөггүй.

Нэг хүсэлтийг шүүлтийн хил хүртэл мөшгиж үз

Клиентийн ашиглаж буй очих хаяг болон портыг баталгаажуулаад, энэ очих газар таны таамагласан замыг дагаж буйг шалга. Нийтлэгдсэн контейнерийн порт, урвуу прокси эсвэл порт дамжуулалт нь шийдвэрийг та хэзээ ч засаж байгаагүй хост руу зөөж болно. Эдгээр үсрэлт бүр өөрийн бодлогыг агуулж болно. Замыг эхлээд тогтоох нь ямар ч пакет хүрэхгүй дүрмийг засахаас чөлөөлнө.

Эрх бүхий Linux хост дээр өөрчлөхөөс өмнө идэвхтэй дүрмүүдийг дарааллаар нь унш. Дамжуулсан болон контейнер үйлчилгээнүүд ихэвчлэн өөрийн гинжинд үсэрдэг тул үсрэлтийн очих цэг болон эцсийн шийдвэрийг хоёуланг нь шалга.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Тикет дээр тохирох дүрмийн дугаарыг бич. Үүнгүйгээр дараагийн уншигч аль засвар үр дүнг өөрчилснийг мэдэхгүй. Цаг тэмдэггүй дүрмийн дугаар одоо ч хоёрдмол утгатай.

Замыг нэг хязгаарласан барилтаар шалга

Нэг хор хөнөөлгүй хүсэлт болон нэг нарийн барилт нь дахин дахин эргэж ирдэг асуултыг шийднэ. Очих порт болон шалгаж буй хостод шүүж, пакетын тоог хязгаарлаж, хүсэлт дуусмагц барилтыг зогсоо.

tcpdump -ni any 'tcp dst port 9443' -c 20

Гурван утгыг зэрэгцүүлэн харьцуул: барилт дахь эх сурвалж, тохирох дүрмийн нэрлэсэн эх сурвалж, апп-ын бүртгэсэн татгалзал. Эдгээр бүгд ялгаатай байж болох бөгөөд IP дүрмээр шийдсэн уналтыг зөвхөн эхнийх нь тайлбарлана. Дамжуулсан HTTP толгой нь прокси давхаргынх тул тэр толгойг иш татсан лог нь галт ханын үнэлсэн эх сурвалжийг дүрслэхгүй.

Дүрмийг төдийгүй гинжийн дарааллыг унш

iptables-ийн лавлагаа эрэмбэлсэн дамжлагыг баримтжуулдаг тул тохирох эцсийн татгалзалын доор байгаа зөвшөөрөл пакетыг хэзээ ч авардаггүй. Өмнө нь хүлээн авсан холболт шинээс өөрөөр ажиллаж болох тул хуучин амжилт шинэ дүрмийн талаар юу ч хэлэхгүй. Зөвшөөрөл буруу гэж үзэхээс өмнө зөвшөөрлийн чинь дээрх татгалзал эсвэл уналтыг ол. Дүрэм тус бүрийн тоолуур нь аль дүрэм пакетыг харсныг ч хэлнэ.

Юу болохыг харахын тулд дүрэм устгах нь өөрчлөлт, ажиглалт биш. Тоолуурыг уншиж, дүрмийн дугаарыг тэмдэглэж, анхны бодлогыг өөрчлөлтийн бүртгэлд хадгал. Хэрэв туршилт зайлшгүй бол гинжийн хуулбар дээр гүйцэтгэ.

Эзэмшигч нь хянадаг дүрмийг өөрчил

Зөвхөн зорьсон эх сурвалж болон үйлчилгээний бодлогыг, түүнийг эзэмшигчээр дамжуулан шинэчил. Хуваалцсан хөрвүүлсэн гарц олон хэрэглэгчийг нэгэн зэрэг төлөөлж болох тул тэр хаягийг зөвшөөрөх нь хэнийг ч баталгаажуулахгүй бөгөөд ард нь байгаа апп-ын зөвшөөрлүүд байгаа газраа үлдэнэ.

Хаяг үргэлжлүүлэн хөдөлж байвал тогтвортой хариулт нь урт үл хамаарах жагсаалт биш, тогтвортой гарц эсвэл баталгаажуулсан суваг юм. Ажигласан эх сурвалж, очих порт, дүрмийн дугаарыг бүртгэ.