VPN konnessa imma l-firewall xorta jimblokka: kif tagħraf liema

It-tunnel jaħdem u port wieħed xorta jfalli. Aqra l-mogħdija, imbagħad il-politika f'kull saff, u biddel l-aktar regola dejqa minflok ma titfi wieħed miż-żewġ kontrolli.

Il-klijent jgħid konness, ir-riżors xorta jirrifjuta, u l-pass li jmiss tas-soltu hu li titfi xi ħaġa. Iż-żewġ kontrolli f'dik is-sentenza jagħmlu xogħol differenti: il-VPN tibni mogħdija għat-traffiku kopert, u firewall jiddeċiedi għal kull konnessjoni jekk it-traffiku jistax jgħaddi. Tunnel li jaħdem b'politika li tirrifjuta jidher eżatt bħal tunnel miksur mis-sit tal-utent, allura l-ħidma hija li ssib liema saff qed iwieġeb. Dan huwa l-ordni li nsegwi, bil-qari li jgħidlek tieqaf.

Issepara l-mogħdija mill-politika

Ibda mill-forma tal-falliment, għax din hija informazzjoni b'xejn. Il-waqgħa ta' pakkett tipproduċi timeout: il-klijent jerġa' jipprova, xejn ma jerġa' lura, u l-kmand jiddendel sakemm jaqta' qalbu. Iċ-ċaħda tipproduċi rifjut jew reset: xi ħaġa wieġbet u qalet le. Servizz li ma jismax jirrifjuta fuq il-host stess, mingħajr ebda firewall.

Dawk it-tliet riżultati jindikaw saffi differenti. Timeout ifisser li politika xi mkien qed tarmi bil-kwiet, jew il-mogħdija qatt ma titlaq mill-magna. Miċħud ifisser li wasalt għall-host u l-stack tiegħu jew il-firewall lokali tiegħu rrifjuta. Silenzju sħiħ, bl-interface tat-tunnel 'il fuq u mingħajr mogħdija lejn id-destinazzjoni, ifisser li l-mogħdija hija ħażina u ebda regola tal-firewall mhija se ssewwiha.

Aqra l-mogħdija fi passa waħda

Ikkonferma li t-tunnel ikopri d-destinazzjoni qabel ma tħares lejn regola waħda. Tunnel maqsum li jġorr biss is-subnet tal-uffiċċju mhux se jibgħat talba lejn firxa oħra, u mbagħad il-falliment jidher bħal blokk tal-firewall li mhuwiex:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Il-ħruġ tal-mogħdija jsemmi l-interface li minnha l-pakkett joħroġ u l-indirizz tas-sors li se jġorr. Jekk dik l-interface hija l-karta tan-netwerk fiżika tiegħek u mhux it-tunnel, il-problema hija fl-irrotar jew fil-firxiet permessi tat-tunnel, u tappartjeni għall-konfigurazzjoni tal-VPN u mhux għall-firewall.

Nassa waħda speċifika għall-VPN tistħoqqlha verifika tagħha. F'WireGuard, AllowedIPs ta' peer huwa kemm mogħdija kif ukoll filtru kriptografiku: pakkett li l-indirizz tas-sors tiegħu ma jaqbilx mas-sett permess tal-peer jintrema qabel ma tiġi kkonsultata ebda regola tal-firewall. Għalhekk firewall tal-host perfettament korrett jista' jkun wara tarmija siekta li tidher bħal politika, u s-sewwejja hija linja ta' konfigurazzjoni taċ-ċavetta u mhux regola.

Aqra l-politika fis-saff li jwieġeb

Ladarba l-mogħdija tkun tajba, għaddi mill-politika mill-host 'il barra u ara s-saff wieħed li l-counters tiegħu jiċċaqalqu:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Is-sokit li jisma' jwieġeb mistoqsija differenti mir-regoli. Jekk xejn ma jisma' fuq il-port, il-kernel jirrifjuta l-konnessjoni u ebda regola tad-dħul mhija rilevanti. Jekk is-sokit jeżisti u l-konnessjoni minn klijent remot tiskadi, tarmija qed isseħħ xi mkien fil-mogħdija, u l-counters tar-regoli jgħidulek jekk hijiex qed isseħħ hawn.

Ixegħel il-logging għall-profil jew il-katina li tissuspetta minflok ma taqta' bl-addoċċ minn barra. Tarmija waħda rreġistrata li ssemmi s-sors, id-destinazzjoni u l-port tidentifika s-saff u r-regola, u tipprova wkoll li l-pakkett wasal, li ebda test mill-ġenb tal-klijent ma jista' jistabbilixxi.

Aqra d-deċiżjoni tal-gateway meta t-tunnel jispiċċa hemmhekk

Fuq gateway sit għal sit jew aċċess remot, il-VPN tawtentika utent u l-politika tawtorizza riżors, u dawk huma għotjiet separati. Utent imdaħħal fit-tunnel mhuwiex awtomatikament imdaħħal f'kull host intern, u ċ-ċaħda spiss tiġi minn regola ta' trażmissjoni waqt li t-tunnel innifsu jkun f'saħħtu. L-istess separazzjoni tidher fl-IPsec, fejn il-politika tas-sigurtà li tagħżel it-traffiku hija differenti mill-filtru li jdaħħalha, u għalhekk it-tnejn huma dokumentati bħala mekkaniżmi differenti fi RFC 4301.

Iċċekkja l-mogħdija tar-ritorn bl-istess reqqa bħal dik tal-ħruġ. Il-filtrazzjoni stateful trid tara t-tweġiba, allura rotot asimmetriku mit-tunnel f'direzzjoni waħda u madwaru fl-oħra jipproduċi tarmijiet li jidhru każwali u li jerġgħu jiġu riprodotti biss minn xi klijenti. Jekk it-traffiku jasal għall-gateway u jieqaf, aqra r-regola ta' trażmissjoni u l-mogħdija tar-ritorn flimkien qabel ma twessa' xejn.

Il-gateway huwa wkoll il-post fejn regola tan-NAT jew tal-maskerade tista' taħbi s-sors veru. Jekk il-hosts interni jaraw l-indirizz tal-gateway minflok tal-klijent, ir-regoli tal-firewall tal-host tagħhom li għandhom jaqblu mal-grupp tal-klijenti qatt ma se jaqblu, u s-sewwejja tappartjeni għall-gateway u mhux għal kull server.

Biddel l-iktar saff dejjaq, imbagħad ivverifika

Irreżisti t-tiswija wiesgħa. Li titfi l-firewall tal-host, li żżid regola li tippermetti kollox, jew li tisfurza kull interface fi profil affidabbli tneħħi kull darba l-kontroll li kien qed jagħmel ix-xogħol tiegħu, u l-bidla tgħix aktar mill-inċident. Regola limitata għall-firxa tas-sors u l-port inkwistjoni hija aktar faċli biex tiġi riveduta, aktar faċli biex titneħħa, u tħalli l-bqija tal-politika tal-magna intatta.

Ivverifika bl-istess test li falla, mill-istess klijent, u mbagħad darba oħra wara li terġa' tingħaqad, għax regola li taqbel qabel it-tunnel jerġa' jinnegozja tista' tieqaf taqbel warajh:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Qabel ma tagħlqu:

  • Il-mogħdija lejn id-destinazzjoni toħroġ mill-interface tat-tunnel, u l-indirizz tas-sors jaqbel ma' dak li tistenna l-politika.
  • Xi ħaġa qed tisma' fuq il-port, u ċ-ċaħda jew it-timeout hija attribwita lil regola msemmija u mhux preżunta.
  • Il-gateway jgħaddi fiż-żewġ direzzjonijiet, u d-destinazzjoni tara s-sors li r-regoli tiegħek inkitbu għalih.
  • Ebda kontroll ma tfew biex jgħaddi t-test, u l-bidla li għamilt issemmi firxa waħda tas-sors u port wieħed.

Artikli relatati