Alamat VPN sudah dimasukkan ke senarai putih tetapi masih disekat? Jejaki

Memasukkan alamat yang ditunjukkan aplikasi VPN ke senarai putih jarang membaiki port yang disekat, dan paket itu menjelaskan sebabnya. Tembok api tidak mengabaikan peraturan anda; ia menilai alamat sumber yang tiada apa pun pada skrin klien menunjukkannya. Sehingga destinasi melaporkan nilai itu, setiap suntingan peraturan hanyalah tekaan.

Mulakan dengan permintaan yang tiba di perkhidmatan. Alamat terowong, alamat keluar dan sebarang terjemahan di antaranya kekal sebagai hipotesis sehingga destinasi mengesahkan salah satunya.

Alamat dalam aplikasi bukan yang tiba

Sambungan VPN membawa sekurang-kurangnya empat alamat yang wajar dinamakan secara berasingan: titik hujung pelayan, alamat terowong dalaman yang diberikan kepada klien anda, alamat Wi-Fi atau Ethernet tempatan, dan alamat awam yang dilihat laman web selepas trafik meninggalkan pembekal. Tetingkap klien mungkin hanya menunjukkan yang kedua. Namakan keempat-empatnya sebelum menamakan peraturan. Dengan terowong berpecah, permintaan ke destinasi awam boleh melangkau terowong sepenuhnya, jadi sesi yang gagal bukan sesi yang pengguna sangka telah dimulakannya.

Tentukan yang mana antara empat itu yang peraturan mahu benarkan, kemudian sahkan dari sebelah sana. Jika keperluan itu benar-benar alamat pejabat, syaratnya ialah laluan ditambah susunan keluar tapak itu, dan sambungan berlabel Office VPN tidak menyediakan kedua-duanya dengan sendirinya.

Jejaki satu permintaan sehingga sempadan penapisannya

Sahkan alamat destinasi dan port yang digunakan klien, kemudian periksa sama ada destinasi ini mengikut laluan yang anda andaikan. Port kontena yang diterbitkan, proksi songsang atau pemajuan port boleh memindahkan keputusan ke hos yang tidak pernah anda sunting. Setiap lompatan itu boleh membawa dasarnya sendiri. Menetapkan laluan dahulu menjimatkan anda daripada membaiki peraturan yang tiada paket sampai.

Pada hos Linux yang dibenarkan, baca peraturan aktif mengikut urutan sebelum mengubahnya. Perkhidmatan yang dimajukan dan perkhidmatan kontena sering melompat ke rantainya sendiri, jadi periksa sasaran lompatan serta keputusan akhir.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Sebut nombor peraturan yang sepadan dalam tiket. Tanpanya pembaca seterusnya tidak dapat mengetahui suntingan mana yang mengubah hasil. Nombor peraturan tanpa cap masa masih samar.

Sahkan laluan dengan satu tangkapan terhad

Satu permintaan tidak berbahaya dan satu tangkapan sempit menyelesaikan soalan yang berulang kali kembali. Tapis pada port destinasi dan hos yang disiasat, hadkan bilangan paket, dan hentikan tangkapan sebaik permintaan selesai.

tcpdump -ni any 'tcp dst port 9443' -c 20

Bandingkan tiga nilai bersebelahan: sumber dalam tangkapan, sumber yang dinamakan peraturan sepadan, dan penolakan yang direkodkan aplikasi. Semuanya boleh berbeza, dan hanya yang pertama menjelaskan kejatuhan yang ditentukan peraturan IP. Pengepala HTTP yang dimajukan tergolong dalam lapisan proksi, jadi log yang memetik pengepala itu tidak menggambarkan sumber yang dinilai tembok api.

Baca susunan rantai, bukan hanya peraturan

Rujukan iptables mendokumenkan laluan tertib, kerana itu kebenaran yang terletak di bawah penolakan terminal yang sepadan tidak pernah menyelamatkan paket. Sambungan yang diterima lebih awal juga boleh berkelakuan berbeza daripada yang baharu, jadi kejayaan lama tidak menjelaskan apa-apa tentang peraturan baharu. Cari penolakan atau kejatuhan di atas kebenaran anda sebelum menganggap kebenaran itu salah. Pembilang setiap peraturan juga memberitahu peraturan mana yang melihat paket itu.

Memadam peraturan untuk melihat apa yang berlaku ialah perubahan, bukan pemerhatian. Baca pembilang, catat nombor peraturan, dan simpan dasar asal dalam log perubahan. Jika ujian tidak dapat dielakkan, jalankannya pada salinan rantai.

Ubah peraturan yang dikawal pemiliknya

Kemas kini hanya dasar sumber dan perkhidmatan yang dimaksudkan, melalui sesiapa yang memilikinya. Keluar terjemahan yang dikongsi boleh mewakili banyak pengguna serentak, jadi membenarkan alamat itu tidak mengesahkan sesiapa, dan kebenaran aplikasi di belakangnya kekal di tempatnya.

Apabila alamat terus berubah, jawapan yang tahan lama ialah keluar yang stabil atau saluran yang disahkan, bukan senarai pengecualian yang lebih panjang. Catat sumber yang diperhatikan, port destinasi dan nombor peraturan.