E vendosët adresën VPN në listën e bardhë dhe ende bllokohet? Gjurmojeni

Vendosja në listën e bardhë e adresës që shfaq një aplikacion VPN rrallë rregullon një port të bllokuar, dhe paketa shpjegon pse. Muri i zjarrit nuk e injoron rregullin tuaj; ai vlerëson një adresë burimi që asgjë në ekranin e klientit nuk e shfaq. Derisa destinacioni të raportojë atë vlerë, çdo ndryshim i rregullit është supozim.

Filloni me kërkesën që arrin në shërbim. Adresa e tunelit, adresa e daljes dhe çdo përkthim midis tyre mbeten hipoteza derisa destinacioni të konfirmojë njërën prej tyre.

Adresa në aplikacion nuk është ajo që arrin

Një lidhje VPN bart të paktën katër adresa që ia vlen të emërtohen veçmas: pikën fundore të serverit, adresën e brendshme të tunelit që i është caktuar klientit tuaj, adresën lokale Wi-Fi ose Ethernet, dhe adresën publike që sheh një faqe interneti pasi trafiku lë ofruesin. Dritarja e klientit mund të shfaqë vetëm të dytën. Emërtoni të katërtat përpara se të emërtoni një rregull. Me tunel të ndarë, kërkesat drejt një destinacioni publik mund ta anashkalojnë plotësisht tunelin, kështu që sesioni që dështon nuk është ai që përdoruesi mendon se e ka nisur.

Vendosni se cilës prej këtyre katër rregulli duhet të lejojë, pastaj verifikojeni nga ana tjetër. Nëse kërkesa është me të vërtetë një adresë zyre, kushti është rruga plus rregullimi i daljes së atij vendi, dhe një lidhje e etiketuar Office VPN nuk ofron asnjërën prej tyre më vete.

Gjurmoni një kërkesë deri në kufirin e saj të filtrimit

Konfirmoni adresën e destinacionit dhe portin që përdor klienti, pastaj kontrolloni që ky destinacion ndjek rrugën që supozoni. Një port kontejneri i publikuar, një proxy i kundërt ose një ridrejtim porti mund ta zhvendosin vendimin në një host që nuk e keni redaktuar kurrë. Secili prej këtyre kërcimeve mund të mbajë politikën e vet. Përcaktimi i rrugës së pari ju kursen nga rregullimi i një rregulli që asnjë paketë nuk e arrin.

Në një host Linux të autorizuar, lexoni rregullat aktive sipas radhës përpara se t'i ndryshoni. Shërbimet e ridrejtuara dhe ato të kontejnerëve shpesh kërcejnë në zinxhirin e tyre, prandaj inspektoni objektivin e kërcimit si dhe verdiktin përfundimtar.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Citoni numrin e rregullit përkatës në tiketë. Pa të, lexuesi tjetër nuk mund të dijë cili ndryshim e ndryshoi rezultatin. Një numër rregulli pa vulë kohe mbetet i paqartë.

Verifikoni rrugën me një kapje të kufizuar

Një kërkesë e padëmshme dhe një kapje e ngushtë zgjidhin pyetjen që kthehet vazhdimisht. Filtroni sipas portit të destinacionit dhe hostit nën hetim, kufizoni numrin e paketave dhe ndaloni kapjen sapo kërkesa të përfundojë.

tcpdump -ni any 'tcp dst port 9443' -c 20

Krahasoni tre vlera krah për krah: burimin në kapje, burimin që emërton rregulli përkatës dhe refuzimin që regjistroi aplikacioni. Të gjitha mund të ndryshojnë, dhe vetëm i pari shpjegon një rënie të vendosur nga një rregull IP. Një header HTTP i ridrejtuar i përket shtresës proxy, prandaj një regjistër që citon atë header nuk përshkruan burimin që vlerësoi muri i zjarrit.

Lexoni rendin e zinxhirit, jo vetëm rregullin

Referenca e iptables dokumenton kalimin e renditur, prandaj një leje që qëndron nën një refuzim përfundimtar përkatës nuk e shpëton kurrë paketën. Një lidhje e pranuar më herët mund të sillet ndryshe nga një e re, kështu që një sukses i vjetër nuk thotë asgjë për rregullin e ri. Gjeni refuzimin ose rënien mbi lejen tuaj përpara se të supozoni që leja është e gabuar. Numëruesit për çdo rregull ju tregojnë gjithashtu cili rregull e pa paketën.

Fshirja e një rregulli për të parë çfarë ndodh është ndryshim, jo vëzhgim. Lexoni numëruesit, shënoni numrin e rregullit dhe mbani politikën origjinale në regjistrin e ndryshimeve. Nëse një test është i pashmangshëm, ekzekutojeni në një kopje të zinxhirit.

Ndryshoni rregullin që kontrollon pronari i tij

Përditësoni vetëm politikën e synuar të burimit dhe të shërbimit, përmes atij që e zotëron. Një dalje e përkthyer e përbashkët mund të përfaqësojë shumë përdorues në të njëjtën kohë, prandaj lejimi i asaj adrese nuk vërteton askënd, dhe lejet e aplikacionit pas saj mbeten aty ku janë.

Kur adresa vazhdon të lëvizë, përgjigja e qëndrueshme është një dalje e qëndrueshme ose një kanal i vërtetuar, jo një listë më e gjatë përjashtimesh. Shënoni burimin e vëzhguar, portin e destinacionit dhe numrin e rregullit.