Pridali ste adresu VPN na biely zoznam a stále je blokovaná? Vysledujte ju

Pridanie adresy, ktorú zobrazuje aplikácia VPN, na biely zoznam zriedka opraví blokovaný port a paket vysvetľuje prečo. Firewall vaše pravidlo neignoruje; vyhodnocuje zdrojovú adresu, ktorú na obrazovke klienta nič nezobrazuje. Kým cieľ túto hodnotu nenahlási, každá úprava pravidla je len domnienka.

Začnite požiadavkou, ktorá do služby dorazí. Adresa tunela, výstupná adresa aj akýkoľvek preklad medzi nimi zostávajú hypotézami, kým cieľ jednu z nich nepotvrdí.

Adresa v aplikácii nie je tá, ktorá dorazí

Spojenie VPN nesie najmenej štyri adresy, ktoré stojí za to pomenovať zvlášť: koncový bod servera, vnútornú adresu tunela pridelenú vášmu klientovi, miestnu adresu Wi-Fi alebo Ethernet a verejnú adresu, ktorú web vidí po tom, čo prevádzka opustí poskytovateľa. Okno klienta môže zobrazovať len druhú z nich. Pomenujte všetky štyri, kým pomenujete pravidlo. Pri rozdelenom tunelovaní môžu požiadavky na verejný cieľ tunel úplne obísť, takže zlyhávajúca relácia nie je tá, o ktorej si používateľ myslí, že ju začal.

Určite, ktorú z tých štyroch má pravidlo povoliť, a potom ju overte z druhej strany. Ak je požiadavka skutočne kancelárska adresa, podmienkou je trasa plus výstupné usporiadanie onoho pracoviska a spojenie označené Office VPN samo o sebe neposkytuje ani jedno.

Prejdite jednou požiadavkou až k jej filtračnej hranici

Potvrďte cieľovú adresu a port, ktoré klient používa, a potom overte, že tento cieľ sleduje cestu, ktorú predpokladáte. Publikovaný port kontajnera, reverzný proxy alebo presmerovanie portu môžu presunúť rozhodnutie na hostiteľa, ktorého ste nikdy neupravovali. Každý z týchto skokov môže mať vlastnú politiku. Najprv zistiť cestu vás ušetrí opravovania pravidla, ku ktorému sa nedostane žiadny paket.

Na autorizovanom hostiteľovi Linux si pred zmenou prečítajte živé pravidlá v poradí. Presmerované a kontajnerové služby často skáču do vlastného reťazca, preto prezrite cieľ skoku aj konečný verdikt.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

V tikete uveďte číslo zodpovedajúceho pravidla. Bez neho ďalší čitateľ nezistí, ktorá úprava zmenila výsledok. Číslo pravidla bez časovej značky je stále nejednoznačné.

Overte cestu jediným obmedzeným zachytením

Jedna neškodná požiadavka a jedno úzke zachytenie vyriešia otázku, ktorá sa stále vracia. Filtrujte podľa cieľového portu a skúmaného hostiteľa, obmedzte počet paketov a zachytenie ukončite, hneď ako požiadavka skončí.

tcpdump -ni any 'tcp dst port 9443' -c 20

Porovnajte tri hodnoty vedľa seba: zdroj v zachytení, zdroj, ktorý uvádza zodpovedajúce pravidlo, a odmietnutie, ktoré zaznamenala aplikácia. Všetky sa môžu líšiť a len prvý vysvetľuje zahodenie rozhodnuté pravidlom IP. Preposlaná hlavička HTTP patrí vrstve proxy, takže záznam citujúci túto hlavičku neopisuje zdroj, ktorý firewall vyhodnotil.

Čítajte poradie reťazca, nie len pravidlo

Referencia iptables dokumentuje usporiadaný prechod, a preto povolenie umiestnené pod zodpovedajúcim koncovým odmietnutím paket nikdy nezachráni. Skôr prijaté spojenie sa tiež môže správať inak ako nové, takže starý úspech o novom pravidle nič nehovorí. Než usúdite, že povolenie je nesprávne, nájdite odmietnutie alebo zahodenie nad svojím povolením. Počítadlá pri každom pravidle tiež povedia, ktoré pravidlo paket videlo.

Vymazanie pravidla, aby ste videli, čo sa stane, je zmena, nie pozorovanie. Prečítajte počítadlá, poznamenajte číslo pravidla a pôvodnú politiku uložte do záznamu zmien. Ak je test nevyhnutný, spustite ho na kópii reťazca.

Zmeňte pravidlo, ktoré ovláda jeho vlastník

Aktualizujte iba zamýšľanú politiku zdroja a služby, prostredníctvom toho, kto ju vlastní. Zdieľaný preložený výstup môže zastupovať mnoho používateľov naraz, takže povolenie tejto adresy nikoho neoverí a oprávnenia aplikácie za ním zostávajú tam, kde sú.

Keď sa adresa stále mení, trvalou odpoveďou je stabilný výstup alebo overený kanál, nie dlhší zoznam výnimiek. Zaznamenajte pozorovaný zdroj, cieľový port a číslo pravidla.