Cloudový firewall verzus firewall hostiteľa pre VPN server

Povoľte port VPN v cloudovej politike a handshake napriek tomu môže na inštancii zlyhať: hosť má vlastný filter a vlastné naviazanie poslucháča a ktorýkoľvek z nich môže zahodiť to, čo cloud schválil. Stáva sa to aj opačne, keď pravidlo hostiteľa port povolí a politika vyššie ho zahodí skôr. Dvaja vlastníci, dve sady pravidiel, jedna cesta paketu. Prejdite ju v poradí, namiesto hádania na najpodozrivejšej vrstve.

Začnite na okraji a choďte dovnútra

Poradie je pevné: verejný koncový bod, rozhranie zdroja, pripojená cloudová politika, adresa hosta, poslucháč procesu, miestne vstupné pravidlá. Každá fáza buď prepustí paket, alebo vyšetrovanie ukončí, preto začiatok na hosťovi stráca najviac času.

Presmerovaná klientska prevádzka je samostatná fáza, ktorá sa skúma po dekapsulácii tunela. Cloudová vrstva vidí len vonkajší tunel, takže môže spojenie schváliť a napriek tomu nemusí mať nič spoločné s požiadavkou na vnútornú službu. Tunel, ktorý sa pripojí, ale nedosiahne vnútorného hostiteľa, zvyčajne ukazuje na presmerovanie, nie na zatvorený port.

Prečítajte si cloudovú politiku, skôr než sa dotknete hosta

Overte vstupné pravidlo pre port VPN, jeho protokol a rozsah zdroja, ktorý zodpovedá vášmu testovaciemu klientovi. Skontrolujte aj zoznam na riadenie prístupu podsiete: druhý filter s vlastnými pravidlami a predvolenými hodnotami. Oba musia tok povoliť, kým paket dorazí na inštanciu. Povolenie v jednom a zamietnutie v druhom je obvyklá podoba tejto chyby.

Zužujte rozsah, kým niečo neznamená. Otvoriť port VPN celému internetu je ľahké dokázať a ťažké obhájiť, kým pravidlo pripnuté k jednej adrese sa rozbije, keď testovací klient zmení sieť. Poznamenajte identifikátor pravidla a vlastníka politiky, aby bola ďalšia zmena dohľadateľná ku konkrétnej osobe.

Overte poslucháča, potom vstupnú reťaz

Na inštancii skontrolujte, či je proces VPN naviazaný na adresu a port, ktoré očakávate, napríklad pomocou ss -lntp 'sport = :1194'. Démon naviazaný iba na 127.0.0.1 prijíma miestnych klientov a nič cez tunel, čo zvonku vyzerá presne ako filtrovaný port.

Potom si prečítajte miestne pravidlá v syntaxi, ktorú by ste použili na ich zmenu, napríklad iptables -S INPUT alebo nft list chain inet filter input. Pravidlo zapísané do súboru, ale nikdy nenačítané, alebo predvolené zahadzovanie bez zodpovedajúceho povolenia, potichu zahadzuje pakety. Pri bráne, ktorá presmerúva, skontrolujte aj nastavenia presmerovania a spätnej cesty. Tie rozhodujú, čo sa deje s paketmi smerovanými cez inštanciu a nie adresovanými na ňu.

So stavom v jednej vrstve, bez stavu v ďalšej

Bezpečnostné skupiny si pamätajú toky, ktoré povolili, a púšťajú odpovede späť. Zoznamy na riadenie prístupu podsietí a mnohé firewally hostiteľa taký stav nevedú, takže pravidlo pokrývajúce iba odchádzajúci smer prepustí požiadavku a zahodí odpoveď. Nikdy neprenášajte predpoklad o spätnej prevádzke medzi vrstvami bez prečítania pravidla druhej vrstvy (second layer's rule).

Počítadlá to vyriešia rýchlejšie než čítanie každého pravidla v účte. Počítadlo, ktoré rastie, znamená, že paket dorazil a tam bol zahodený, kým to zamrznuté na nule znamená, že tam nikdy nedošiel; iptables -vnL INPUT a nft list ruleset ukazujú tie čísla, keď boli pravidlá načítané s počítadlami.

Testujte čerstvou reláciou, nie živou

Nechajte zdrojovú sieť aj testovací profil na pokoji, keď porovnávate pohľady, a po každej zmene otvorte nové spojenie. Dosiahnutie webovej konzoly na 443 nič nehovorí o tom, či je démon VPN naviazaný na 1194, preto testujte port, ktorý potrebujete. Existujúca relácia je tu najhorší svedok. Funguje ďalej, kým je každé nové prihlásenie odmietnuté.

Pred úpravou vzdialenej politiky si zabezpečte cestu späť, ktorá nezávisí od cesty, ktorú meníte. Potom otvorte druhú administratívnu reláciu vedľa testu VPN: skôr vytvorená môže prežiť pravidlo, ktoré blokuje nové. Poznamenajte oboch vlastníkov politík, aby žiadna prestavba neobnovila polovicu cesty; ak obe vrstvy súhlasia a tunel napriek tomu zlyháva, zachyťte prevádzku na rozhraní hosta a overte adresu a port, ktoré klient skutočne používa.