La VPN-adressa på kvitlista og framleis blokkert? Spor henne

Å setje adressa ein VPN-app viser på kvitlista løyser sjeldan ein blokkert port, og pakken forklarar kvifor. Brannmuren ignorerer ikkje regelen din; han vurderer ei kjeldadresse som ingenting på klientens skjerm viser. Inntil destinasjonen rapporterer den verdien, er kvar regelendring ei gissing.

Start med førespurnaden som når tenesta. Tunneladressa, utgangsadressa og kvar oversetjing imellom blir verande hypotesar til destinasjonen stadfester éi av dei.

Adressa i appen er ikkje den som kjem inn

Ei VPN-tilkopling ber minst fire adresser som er verd å namngje kvar for seg: endepunktet til tenaren, den indre tunneladressa som er tildelt klienten din, den lokale Wi-Fi- eller Ethernet-adressa, og den offentlege adressa ein nettstad ser etter at trafikken har forlate tilbydaren. Eit klientvindauge kan vise berre den andre. Namngje alle fire før du namngjev ein regel. Med delt tunnel kan førespurnader til ein offentleg destinasjon hoppe heilt over tunnelen, så den feilande økta er ikkje den brukaren trur dei starta.

Avgjer kva av dei fire regelen skal tillate, og stadfest han deretter frå den andre sida. Viss kravet verkeleg er ei kontoradresse, er vilkåret ruta pluss utgangsordninga til den nettstaden, og ei tilkopling merkt Office VPN gjev ingen av delane av seg sjølv.

Spor éin førespurnad til filtreringsgrensa hans

Stadfest destinasjonsadressa og porten klienten brukar, og kontroller deretter at denne destinasjonen følgjer ruta du føreset. Ein publisert containerport, ein omvend proxy eller ei portvideresending kan flytte avgjerda til ein vert du aldri har redigert. Kvart av desse hoppa kan ha si eiga policy. Å fastslå ruta først sparer deg for å rette ein regel som ingen pakke nokon gong når.

På ein autorisert Linux-vert, les dei aktive reglane i rekkjefølgje før du endrar dei. Vidaresende tenester og containertenester hoppar ofte inn i si eiga kjede, så undersøk hoppmålet så vel som den endelege dommen.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Siter det samsvarande regelnummeret i saka. Utan det kan neste lesar ikkje sjå kva endring som endra resultatet. Eit regelnummer utan tidsstempel er framleis tvitydig.

Stadfest ruta med eitt avgrensa opptak

Éin ufarleg førespurnad og eitt smalt opptak avgjer spørsmålet som stadig kjem tilbake. Filtrer på destinasjonsporten og verten som blir undersøkt, avgrens talet på pakkar, og stopp opptaket så snart førespurnaden er fullført.

tcpdump -ni any 'tcp dst port 9443' -c 20

Samanlikn tre verdiar side om side: kjelda i opptaket, kjelda den samsvarande regelen nemner, og avvisinga applikasjonen logga. Dei kan alle vere ulike, og berre den første forklarar ein dropp avgjort av ein IP-regel. Eit vidaresend HTTP-hovud høyrer til proxy-laget, så ein logg som siterer det hovudet skildrar ikkje kjelda brannmuren vurderte.

Les kjederækkjefølgja, ikkje berre regelen

iptables-referansen dokumenterer ordna gjennomgang, og difor reddar ei tillating som ligg under ei samsvarande terminal avvising aldri pakken. Ei tilkopling som vart godteken tidlegare kan òg oppføre seg annleis enn ei ny, så ein gammal suksess seier ingenting om den nye regelen. Finn avvisinga eller droppet over tillatinga di før du føreset at tillatinga er feil. Teljarane per regel fortel deg òg kva regel som såg pakken.

Å slette ein regel for å sjå kva som skjer er ei endring, ikkje ei observasjon. Les teljarane, noter regelnummeret, og hald den opphavlege policyen i endringsloggen. Viss ein test er uunngåeleg, køyr han på ein kopi av kjeda.

Endre regelen som eigaren kontrollerer

Oppdater berre den tiltenkte kjelde- og tenestepolicyen, gjennom den som eig han. Ein delt omsett utgang kan representere mange brukarar samstundes, så å tillate den adressa autentiserer ingen, og applikasjonstilgjengingane bak han blir der dei er.

Når adressa held fram med å flytte seg, er det varige svaret ein stabil utgang eller ein autentisert kanal, ikkje ei lengre unntaksliste. Registrer den observerte kjelda, destinasjonsporten og regelnummeret.