Il-firewall qed jimblokka l-VPN? Verifika pass pass

Timeout wieħed tal-VPN juri li ma waslet l-ebda tweġiba użabbli, u ma juri xejn dwar għala. Il-profil jista’ jsemmi l-port ħażin, is-server jista’ jkun mitfi, jew it-talba tista’ tasal mingħajr passaġġ lura li jaħdem. Kull waħda minn dawn tħalli traċċa differenti, u t-traċċa hija dik li tgħidlek liema regola trid tmiss. Għaddi mill-erba’ stadji hawn taħt fl-ordni. Ieqaf hekk kif waħda minnhom tispjega s-sintomu.

Stadju 1: ikkonferma s-server u t-trasport

Aqra l-isem tas-server, it-trasport u l-port mill-profil attwali tal-operatur u mhux minn bidla lokali. Port mibdul fuq il-laptop tiegħek ma jistax joħloq listener fuq server pubbliku, u dan in-nuqqas ta’ qbil jipproduċi timeout identiku għal blokk. Jekk il-profil joffri trasport alternattiv appoġġat, innotah bħala rikors u mhux bħala tiswija. Issolvi l-isem u qabbel it-tweġiba mal-indirizz li l-operatur ippubblika.

Rekord DNS antik jibgħat il-klijent lejn host li qatt ma wieġeb. Dan huwa difett ieħor li jixbah lil filtru, u biex teskludih tiswa mistoqsija waħda.

Ikteb iż-żewġ valuri fit-ticket. Kull paragun sussegwenti jużahom, u ticket mingħajrhom jerġa’ jibda l-investigazzjoni.

Stadju 2: ipprova l-passaġġ b’paragun wieħed ikkontrollat

Ħalli l-apparat u l-profil bla bidla u pprova netwerk ta’ aċċess ieħor affidabbli. Jekk it-tunnel jitla’ hemm, id-differenza hija l-passaġġ oriġinali jew il-politika tiegħu. Jekk it-tieni apparat approvat jaħdem fuq in-netwerk oriġinali, id-differenza hija l-ewwel apparat. Waħda minn dawn iż-żewġ paraguni kważi dejjem hija deċiżiva.

Lesti l-ewwel kwalunkwe dħul leġittimu fin-netwerk, għax portal captive jidher bħal blokk sakemm ikun lest.

Ittestja l-port li tassew tuża, u ttratta riżultat TCP bħala informazzjoni dwar TCP biss.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Handshake TCP b’suċċess fuq il-port 443 ifisser li listener wieġeb hemm. Ma jgħid xejn dwar listener UDP fuq 51820, u lanqas dwar jekk in-negozjati tlestewx.

Stadju 3: aqra l-avvenimenti tas-sigurtà għall-mument tal-falliment

L-avvenimenti tal-firewall huma l-aktar evidenza qawwija disponibbli, u jġorru kawtela li jistħoqqilha tissemma l-ewwel. Ir-reġistrazzjoni hija mitfija f’ħafna profili awtomatiċi, għalhekk iċċekkja jekk il-profil rilevanti jirreġistrax telf qabel ma taqra reġistru vojt bħala prova ta’ innoċenza. Meta r-reġistrazzjoni tkun mixgħula, l-avveniment isemmi r-regola, id-direzzjoni u l-indirizzi, li huwa eżattament dak li jieħu bidla ta’ regola. Regoli tal-applikazzjoni u regoli tal-port huma oġġetti separati, u politika amministrata tista’ tegħleb setting lokali. Ikkonferma liema klijent u liema servizz regola tassew tkopri.

Iġbor l-istat tal-profil u l-avvenimenti riċenti mill-magna li falliet, mhux minn host ġar.

Qabbel il-ħin tal-avveniment mal-ħin tal-prova tiegħek, għax isem ta’ regola li jaqbel ma’ timestamp differenti huwa koinċidenza.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Fuq server li tamministra, staqsi jekk it-talba waslitx għall-listener. Pakkett li jasal mingħajr tweġiba hija problema ta’ trażmissjoni jew ta’ rotta lura. Talba li qatt ma tidher hija problema ta’ filtrazzjoni jew ta’ indirizzar.

Stadju 4: ittestja t-trażmissjoni wara li t-tunnel jitla’

Firewall jista’ jippermetti s-sessjoni u xorta jiċħad kull ma s-sessjoni trid tilħaq. Is-sysctl tat-trażmissjoni, ir-regoli NAT u r-rotot lura kollha jiġu wara l-awtentikazzjoni, u eżenzjoni wiesgħa għall-port tal-VPN ma ssewwi lil ebda waħda minnhom. Ittestja destinazzjoni interna u destinazzjoni tal-internet separatament, għax normalment ifallu għal raġunijiet differenti. Jekk l-ismijiet interni jfallu imma l-indirizzi jaħdmu, ħares lejn id-DNS imbuttat qabel kwalunkwe regola.

Mexxi t-tliet verifiki hawn taħt fuq is-server waqt li klijent ikun konness u qed jipprova t-talba li tfalli.

Il-counter fuq l-interface tat-tunnel huma l-punt, għax juru jekk il-pakketti daħlux u jekk ħareġ xejn.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Meta l-pakketti jaslu fuq it-tunnel u xejn ma joħroġ lejn id-destinazzjoni, is-suspett huwa t-trażmissjoni jew in-NAT. Meta xejn ma jasal, is-sessjoni hija miftuħa imma l-klijent mhux qed jibgħat, u l-post fejn wieħed iħares huwa t-tabella tar-rotot tal-klijent.

Ivverifika t-tiswija u neħħi dak li ma għenx

Wara tiswija approvata, erġa’ agħmel eżattament il-prova li falliet u rreġistra r-riżultat kontra l-istess profil u apparat. Imbagħad neħħi kwalunkwe eċċezzjoni temporanja li ma bidlitx ir-riżultat, għax eċċezzjonijiet mhux użati jiġġemgħu u kull waħda hija deċiżjoni li ħadd ma jiftakar ħa. Żomm dak li jibqa’ dejjaq: destinazzjoni waħda, port wieħed, direzzjoni waħda, sid wieħed.

Erġa’ mexxi l-istess tliet kmandi u qabbilhom mal-output li salvajt qabel il-bidla.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Meta n-netwerk tal-paragun jaħdem, in-netwerk oriġinali għadu jfalli u l-avvenimenti jibqgħu vojta, is-suspett li jibqa’ huwa l-passaġġ u mhux il-host. Għaddih lis-sid tan-netwerk bħala dikjarazzjoni preċiża, biż-żewġ riżultati tal-paragun mehmuża. Dak huwa post aħjar fejn wieqaf milli profil tal-firewall diżattivat.