Adakah Firewall Menyekat VPN? Semakan Langkah demi Langkah

Satu tamat masa VPN membuktikan bahawa tiada balasan yang boleh digunakan tiba, dan tidak membuktikan apa-apa tentang puncanya. Profil mungkin menyebut port yang salah, pelayan mungkin mati, atau permintaan mungkin tiba tanpa laluan balik yang berfungsi. Setiap satunya meninggalkan kesan berbeza, dan kesan itulah yang memberitahu peraturan mana untuk disentuh. Lalui empat peringkat di bawah mengikut urutan. Berhenti sebaik sahaja salah satunya menjelaskan gejala itu.

Peringkat 1: sahkan pelayan dan pengangkutan

Baca nama pelayan, pengangkutan dan port daripada profil semasa pengendali dan bukan daripada suntingan tempatan. Port yang diubah pada komputer riba anda tidak boleh mencipta pendengar pada pelayan awam, dan ketidakpadanan itu menghasilkan tamat masa yang sama seperti sekatan. Jika profil menawarkan pengangkutan alternatif yang disokong, catatkan sebagai sandaran dan bukan sebagai pembetulan. Selesaikan nama dan bandingkan jawapannya dengan alamat yang diterbitkan oleh pengendali.

Rekod DNS yang lapuk menghantar klien ke hos yang tidak pernah menjawab. Itu satu lagi kerosakan yang meniru penapis, dan mengecualikannya hanya memerlukan satu pertanyaan.

Tulis kedua-dua nilai dalam tiket. Setiap perbandingan kemudian menggunakannya, dan tiket tanpa kedua-duanya memulakan siasatan semula.

Peringkat 2: buktikan laluan dengan satu perbandingan terkawal

Biarkan peranti dan profil tidak berubah dan cuba rangkaian akses dipercayai yang lain. Jika terowong naik di sana, perbezaannya ialah laluan asal atau dasarnya. Jika peranti kedua yang diluluskan berfungsi pada rangkaian asal, perbezaannya ialah peranti pertama. Salah satu daripada dua perbandingan itu hampir selalu menentukan.

Selesaikan dahulu sebarang log masuk rangkaian yang sah, kerana portal tawanan kelihatan seperti sekatan sehingga ia selesai.

Uji port yang sebenarnya anda gunakan, dan anggap keputusan TCP sebagai maklumat tentang TCP sahaja.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Jabat tangan TCP yang berjaya pada port 443 bermakna ada pendengar yang menjawab di sana. Ia tidak menyatakan apa-apa tentang pendengar UDP pada 51820, dan tidak juga sama ada rundingan selesai.

Peringkat 3: baca peristiwa keselamatan pada saat kegagalan

Peristiwa firewall ialah bukti paling kukuh yang tersedia, dan ia membawa satu kaveat yang wajar dinyatakan dahulu. Pengelogan dimatikan dalam banyak profil lalai, jadi semak sama ada profil berkenaan merekod penolakan sebelum membaca log kosong sebagai bukti tidak bersalah. Apabila pengelogan dihidupkan, peristiwa menyebut peraturan, arah dan alamat, iaitu tepat apa yang diperlukan oleh perubahan peraturan. Peraturan aplikasi dan peraturan port ialah objek berasingan, dan dasar terurus boleh mengatasi tetapan tempatan. Sahkan klien dan perkhidmatan mana yang sebenarnya diliputi oleh sesuatu peraturan.

Kumpulkan keadaan profil dan peristiwa terkini daripada mesin yang gagal, bukan daripada hos jiran.

Baca masa peristiwa terhadap masa percubaan ujian anda, kerana nama peraturan yang sepadan dengan cap masa berbeza hanyalah kebetulan.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Pada pelayan yang anda uruskan, tanya sama ada permintaan itu sampai kepada pendengar. Paket yang tiba tanpa balasan ialah masalah penghantaran atau laluan balik. Permintaan yang tidak pernah muncul ialah masalah penapisan atau pengalamatan.

Peringkat 4: uji penghantaran selepas terowong naik

Firewall boleh membenarkan sesi dan tetap menolak semua yang ingin dicapai oleh sesi. Sysctl penghantaran, peraturan NAT dan laluan balik semuanya selepas pengesahan, dan pengecualian luas untuk port VPN tidak membaiki satu pun daripadanya. Uji satu destinasi dalaman dan satu destinasi internet secara berasingan, kerana kedua-duanya biasanya gagal atas sebab berbeza. Jika nama dalaman gagal tetapi alamat berfungsi, lihat DNS yang ditolak sebelum apa-apa peraturan.

Jalankan tiga semakan di bawah pada pelayan semasa klien disambungkan dan cuba permintaan yang gagal itu.

Pembilang pada antara muka terowong ialah perkara utamanya, kerana ia menunjukkan sama ada paket masuk dan sama ada sesuatu keluar.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Apabila paket tiba di terowong dan tiada apa keluar menuju destinasi, suspeknya ialah penghantaran atau NAT. Apabila tiada apa tiba, sesi naik tetapi klien tidak menghantar, dan tempat untuk melihat ialah jadual laluan klien.

Semak pembetulan dan buang apa yang tidak membantu

Selepas pembetulan diluluskan, ulangi tepat ujian yang gagal itu dan catat keputusan terhadap profil dan peranti yang sama. Kemudian buang sebarang pengecualian sementara yang tidak mengubah keputusan, kerana pengecualian yang tidak digunakan terkumpul dan setiap satunya ialah keputusan yang tiada siapa ingat membuatnya. Kekalkan yang tinggal secara sempit: satu destinasi, satu port, satu arah, satu pemilik.

Jalankan semula tiga arahan yang sama dan bandingkannya dengan output yang anda simpan sebelum perubahan.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Apabila rangkaian perbandingan berfungsi, rangkaian asal masih gagal dan peristiwa kekal kosong, suspek yang tinggal ialah laluan dan bukan hos. Serahkan itu kepada pemilik rangkaian sebagai kenyataan khusus, dengan kedua-dua keputusan perbandingan dilampirkan. Itu tempat berhenti yang lebih baik daripada profil firewall yang dilumpuhkan.