Naslov VPN ste dali na beli seznam, pa je še vedno blokiran? Sledite mu

Dodajanje naslova, ki ga prikazuje aplikacija VPN, na beli seznam le redko popravi blokirana vrata, in paket pojasni, zakaj. Požarni zid ne ignorira vašega pravila; ocenjuje izvorni naslov, ki ga nič na zaslonu odjemalca ne prikaže. Dokler cilj ne sporoči te vrednosti, je vsaka sprememba pravila ugibanje.

Začnite z zahtevo, ki prispe do storitve. Naslov tunela, izhodni naslov in kakršno koli prevajanje med njima ostanejo hipoteze, dokler cilj ne potrdi ene od njih.

Naslov v aplikaciji ni tisti, ki prispe

Povezava VPN nosi vsaj štiri naslove, ki jih velja poimenovati ločeno: končno točko strežnika, notranji naslov tunela, dodeljen vašemu odjemalcu, krajevni naslov Wi-Fi ali Ethernet in javni naslov, ki ga spletno mesto vidi po tem, ko promet zapusti ponudnika. Okno odjemalca lahko prikazuje samo drugega. Poimenujte vse štiri, preden poimenujete pravilo. Pri razdeljenem tunelu lahko zahteve do javnega cilja tunel povsem obidejo, zato neuspešna seja ni tista, za katero uporabnik misli, da jo je začel.

Odločite, kateremu od teh štirih naj pravilo dovoli, in ga nato preverite z druge strani. Če je zahteva res pisarniški naslov, je pogoj pot plus izhodna ureditev tega mesta, in povezava z oznako Office VPN sama po sebi ne zagotavlja ne enega ne drugega.

Sledite eni zahtevi do njene meje filtriranja

Potrdite ciljni naslov in vrata, ki jih uporablja odjemalec, nato preverite, ali ta cilj sledi poti, ki jo predvidevate. Objavljena vrata vsebnika, obratni posrednik ali preusmeritev vrat lahko odločitev premaknejo na gostitelja, ki ga niste nikoli uredili. Vsak od teh skokov lahko nosi svojo politiko. Če pot najprej ugotovite, se izognete popravljanju pravila, do katerega ne prispe noben paket.

Na pooblaščenem gostitelju Linux preberite aktivna pravila po vrsti, preden jih spremenite. Posredovane in vsebniške storitve pogosto skočijo v svojo verigo, zato preglejte cilj skoka in tudi končno sodbo.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

V zahtevku navedite številko ustreznega pravila. Brez nje naslednji bralec ne more vedeti, katera sprememba je spremenila izid. Številka pravila brez časovnega žiga je še vedno dvoumna.

Preverite pot z enim omejenim zajemom

Ena neškodljiva zahteva in en ozek zajem razrešita vprašanje, ki se vedno znova vrača. Filtrirajte po ciljnih vratih in gostitelju, ki ga preiskujete, omejite število paketov in zajem ustavite takoj, ko je zahteva končana.

tcpdump -ni any 'tcp dst port 9443' -c 20

Primerjajte tri vrednosti drugo ob drugi: vir v zajemu, vir, ki ga navaja ustrezno pravilo, in zavrnitev, ki jo je zabeležila aplikacija. Vse se lahko razlikujejo, in samo prva pojasni padec, o katerem je odločilo pravilo IP. Posredovana glava HTTP pripada plasti posrednika, zato dnevnik, ki navaja to glavo, ne opisuje vira, ki ga je ocenil požarni zid.

Berite vrstni red verige, ne le pravila

Referenca iptables dokumentira urejen prehod, zato dovoljenje, ki stoji pod ustreznim končnim zavračanjem, nikoli ne reši paketa. Prej sprejeta povezava se lahko obnaša drugače kot nova, zato star uspeh ne pove ničesar o novem pravilu. Poiščite zavrnitev ali padec nad svojim dovoljenjem, preden domnevate, da je dovoljenje napačno. Števci po pravilu vam povedo tudi, katero pravilo je videlo paket.

Brisanje pravila, da vidite, kaj se zgodi, je sprememba, ne opazovanje. Preberite števce, zapišite številko pravila in izvirno politiko ohranite v dnevniku sprememb. Če se preizkusu ni mogoče izogniti, ga izvedite na kopiji verige.

Spremenite pravilo, ki ga nadzoruje njegov lastnik

Posodobite samo predvideno politiko vira in storitve, prek tistega, ki jo ima. Skupni prevedeni izhod lahko predstavlja veliko uporabnikov hkrati, zato dovoljenje tega naslova ne preveri nikogar, in dovoljenja aplikacije za njim ostanejo tam, kjer so.

Ko se naslov še naprej premika, je trajni odgovor stabilen izhod ali overjen kanal, ne daljši seznam izjem. Zapišite opaženi vir, ciljna vrata in številko pravila.