VPN-adres op de whitelist gezet en nog steeds geblokkeerd? Spoor het op

Het adres dat een VPN-app toont op de whitelist zetten lost zelden een geblokkeerde poort op, en het pakket legt uit waarom. De firewall negeert je regel niet; hij beoordeelt een bronadres dat niets op het clientscherm toont. Tot de bestemming die waarde meldt, is elke regelwijziging een gok.

Begin bij het verzoek dat de dienst bereikt. Het tunneladres, het uitgangsadres en elke vertaling daartussen blijven hypotheses tot de bestemming er een bevestigt.

Het adres in de app is niet het adres dat aankomt

Een VPN-verbinding draagt minstens vier adressen die het waard zijn apart te benoemen: het server-eindpunt, het interne tunneladres dat aan je client is toegewezen, het lokale Wi-Fi- of Ethernetadres, en het openbare adres dat een website ziet nadat het verkeer de provider heeft verlaten. Een clientvenster toont misschien alleen het tweede. Benoem alle vier voordat je een regel benoemt. Bij gesplitste tunneling kunnen verzoeken naar een openbare bestemming de tunnel volledig overslaan, dus de mislukkende sessie is niet degene waarvan de gebruiker denkt dat hij hem is begonnen.

Bepaal welke van die vier de regel mag toelaten, en verifieer die dan vanaf de andere kant. Als de eis echt een kantooradres is, is de voorwaarde de route plus de uitgangsregeling van die site, en een verbinding met het label Office VPN levert geen van beide op zichzelf.

Volg één verzoek tot zijn filtergrens

Bevestig het bestemmingsadres en de poort die de client gebruikt, en controleer dan of deze bestemming het pad volgt dat je aanneemt. Een gepubliceerde containerpoort, een reverse proxy of een port forward kunnen de beslissing naar een host verplaatsen die je nooit hebt bewerkt. Elk van die sprongen kan zijn eigen beleid dragen. Eerst het pad vaststellen bespaart je het corrigeren van een regel die geen enkel pakket ooit bereikt.

Lees op een geautoriseerde Linux-host de actieve regels op volgorde voordat je ze wijzigt. Doorgestuurde diensten en containerdiensten springen vaak in hun eigen keten, dus inspecteer zowel het sprongdoel als het eindvonnis.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Vermeld het overeenkomende regelnummer in de ticket. Zonder dat kan de volgende lezer niet zien welke wijziging het resultaat heeft veranderd. Een regelnummer zonder tijdstempel is nog steeds dubbelzinnig.

Verifieer het pad met één beperkte opname

Eén onschadelijk verzoek en één smalle opname beslechten de vraag die steeds terugkomt. Filter op de bestemmingspoort en de host die wordt onderzocht, beperk het aantal pakketten, en stop de opname zodra het verzoek is voltooid.

tcpdump -ni any 'tcp dst port 9443' -c 20

Vergelijk drie waarden naast elkaar: de bron in de opname, de bron die de overeenkomende regel noemt, en de afwijzing die de applicatie heeft gelogd. Ze kunnen allemaal verschillen, en alleen de eerste verklaart een drop die door een IP-regel is besloten. Een doorgestuurde HTTP-header hoort bij de proxylaag, dus een log dat die header citeert beschrijft niet de bron die de firewall heeft beoordeeld.

Lees de ketenorde, niet alleen de regel

De iptables-referentie documenteert geordende doorloop, waardoor een toelating onder een overeenkomende terminale afwijzing het pakket nooit redt. Een verbinding die eerder is geaccepteerd kan zich ook anders gedragen dan een nieuwe, dus een oud succes zegt niets over de nieuwe regel. Zoek de afwijzing of de drop boven je toelating voordat je aanneemt dat de toelating fout is. Tellers per regel vertellen je ook welke regel het pakket heeft gezien.

Een regel verwijderen om te zien wat er gebeurt is een wijziging, geen observatie. Lees de tellers, noteer het regelnummer, en bewaar het oorspronkelijke beleid in het wijzigingslog. Als een test onvermijdelijk is, voer die dan uit op een kopie van de keten.

Wijzig de regel die de eigenaar beheert

Werk alleen het bedoelde bron- en dienstbeleid bij, via degene die het bezit. Een gedeelde vertaalde uitgang kan veel gebruikers tegelijk vertegenwoordigen, dus het toelaten van dat adres authenticeert niemand, en de applicatiemachtigingen erachter blijven waar ze zijn.

Als het adres blijft bewegen, is het duurzame antwoord een stabiele uitgang of een geauthenticeerd kanaal, niet een langere uitzonderingenlijst. Noteer de waargenomen bron, de bestemmingspoort en het regelnummer.