Ali požarni zid blokira VPN? Preverjanje korak za korakom

Ena časovna omejitev VPN dokaže, da ni prispel noben uporaben odgovor, in ne dokaže ničesar o vzroku. Profil lahko navaja napačna vrata, strežnik je lahko ugasnjen ali zahteva lahko prispe brez delujoče povratne poti. Vsak od teh primerov pusti drugačno sled, in prav sled pove, katerega pravila se dotakniti. Pojdite skozi štiri stopnje spodaj po vrsti. Ustavite se takoj, ko ena od njih pojasni simptom.

Korak 1: potrdite strežnik in prenos

Preberite ime strežnika, prenos in vrata iz trenutnega profila operaterja in ne iz lokalne spremembe. Vrata, spremenjena na prenosniku, ne morejo ustvariti poslušalca na javnem strežniku, in to neskladje povzroči časovno omejitev, enako blokadi. Če profil ponuja podprt alternativni prenos, ga zabeležite kot rezervo in ne kot popravek. Razrešite ime in primerjajte odgovor z naslovom, ki ga je operater objavil.

Zastarel zapis DNS pošlje odjemalca na gostitelja, ki ni nikoli odgovoril. To je še ena napaka, ki posnema filter, in za njeno izključitev zadostuje ena poizvedba.

Zapišite obe vrednosti v zahtevek. Vsaka poznejša primerjava ju uporablja, zahtevek brez njiju pa začne preiskavo znova.

Korak 2: dokažite pot z eno nadzorovano primerjavo

Pustite napravo in profil nespremenjena ter poskusite drugo zaupanja vredno dostopovno omrežje. Če se tunel tam dvigne, je razlika prvotna pot ali njena politika. Če v prvotnem omrežju deluje druga odobrena naprava, je razlika prva naprava. Ena od teh dveh primerjav je skoraj vedno odločilna.

Najprej dokončajte vsako zakonito omrežno prijavo, ker je ujetniški portal videti kot blokada, dokler ni dokončan.

Preizkusite vrata, ki jih dejansko uporabljate, in rezultat TCP obravnavajte kot informacijo samo o TCP.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Uspešno rokovanje TCP na vratih 443 pomeni, da je tam odgovoril poslušalec. Nič ne pove o poslušalcu UDP na 51820 niti o tem, ali so se pogajanja končala.

Korak 3: preberite varnostne dogodke za trenutek okvare

Dogodki požarnega zidu so najmočnejši razpoložljivi dokaz in nosijo pridržek, ki ga velja povedati najprej. Beleženje je v mnogih privzetih profilih izklopljeno, zato preverite, ali zadevni profil beleži zavrnitve, preden prazen dnevnik preberete kot dokaz nedolžnosti. Ko je beleženje vklopljeno, dogodek navede pravilo, smer in naslove, kar je natanko to, kar sprememba pravila potrebuje. Pravila aplikacij in pravila vrat so ločeni objekti, upravljana politika pa lahko preglasi lokalno nastavitev. Potrdite, katerega odjemalca in katero storitev pravilo dejansko pokriva.

Zbirajte stanje profila in nedavne dogodke s stroja, ki je odpovedal, ne s sosednjega gostitelja.

Primerjajte čas dogodka s časom svojega poskusa preizkusa, ker je ujemajoče se ime pravila z drugo časovno oznako naključje.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Na strežniku, ki ga upravljate, vprašajte, ali je zahteva sploh prispela do poslušalca. Paket, ki prispe brez odgovora, je težava posredovanja ali povratne poti. Zahteva, ki se nikoli ne pojavi, je težava filtriranja ali naslavljanja.

Korak 4: preizkusite posredovanje, ko je tunel dvignjen

Požarni zid lahko dovoli sejo in vseeno zavrne vse, kar želi seja doseči. Sysctl posredovanja, pravila NAT in povratne poti stojijo po overitvi, in široka izjema za vrata VPN ne popravi nobene od njih. Preizkusite eno notranjo ciljno točko in eno internetno ciljno točko ločeno, ker običajno odpovedo iz različnih razlogov. Če notranja imena odpovedo, naslovi pa delujejo, poglejte potisnjeni DNS pred katerim koli pravilom.

Zaženite tri preverjanja spodaj na strežniku, medtem ko je odjemalec povezan in poskuša zahtevo, ki odpoveduje.

Števci na vmesniku tunela so bistvo, ker kažejo, ali so paketi vstopili in ali je kaj izstopilo.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Ko paketi prispejo na tunel in nič ne odide proti cilju, je sumljivo posredovanje ali NAT. Ko ne prispe nič, je seja dvignjena, a odjemalec ne pošilja, in mesto za pogled je usmerjevalna tabela odjemalca.

Preverite popravek in odstranite, kar ni pomagalo

Po odobrenem popravku ponovite natanko tisti preizkus, ki je odpovedal, in zapišite rezultat glede na isti profil in napravo. Nato odstranite vsako začasno izjemo, ki ni spremenila izida, ker se neuporabljene izjeme kopičijo in vsaka je odločitev, ki se je nihče ne spomni. Kar ostane, držite ozko: en cilj, ena vrata, ena smer, en odgovorni.

Znova zaženite iste tri ukaze in jih primerjajte z izhodi, ki ste jih shranili pred spremembo.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Ko primerjalno omrežje deluje, prvotno omrežje še vedno odpoveduje in dogodki ostanejo prazni, je preostali sumljivec pot in ne gostitelj. To predajte lastniku omrežja kot konkretno trditev s priloženima obema rezultatoma primerjave. To je boljše mesto za ustavitev kot onemogočen profil požarnega zidu.