Облачни заштитни зид наспрам заштитног зида домаћина за VPN сервер

Дозволите VPN порт у облачној политици и руковање ипак може да умре на инстанци: гост покреће сопствени филтер и сопствено везивање слушаоца, и било које од тога може да одбаци оно што је облак одобрио. Дешава се и обрнуто, када правило домаћина дозвољава порт, а политика изнад њега га прва одбаци. Два власника, два скупа правила, једна путања пакета. Прођите је редом уместо да нагађате на најсумњивијем слоју.

Почните на ивици и крећите се ка унутра

Редослед је фиксан: јавна крајња тачка, интерфејс ресурса, придружена облачна политика, адреса госта, слушалац процеса, локална улазна правила. Свака фаза или пропушта пакет или завршава истрагу, зато почетак на госту губи највише времена.

Прослеђени клијентски саобраћај је засебна фаза која се прегледа након декапсулације тунела. Облачни слој види само спољни тунел, па може да одобри везу и притом нема никакве везе са захтевом унутрашње услуге. Тунел који се повезује али не стиже до унутрашњег домаћина обично указује на прослеђивање, а не на затворен порт.

Прочитајте облачну политику пре него што додирнете госта

Потврдите улазно правило за VPN порт, његов протокол и опсег извора који одговара вашем тест клијенту. Проверите и листу за контролу приступа подмреже: други филтер са сопственим правилима и подразумеваним вредностима. Оба морају да дозволе ток пре него што пакет стигне до инстанце. Дозвола у једном и одбијање у другом је уобичајен облик ове грешке.

Сузите опсег док нешто не значи. Отварање VPN порта целом интернету лако је доказати и тешко бранити, док се правило закачено за једну адресу ломи када ваш тест клијент промени мрежу. Забележите идентификатор правила и власника политике, да следећа измена буде следљива до особе.

Потврдите слушаоца, затим улазни ланац

На инстанци проверите да ли је VPN процес везан за адресу и порт које очекујете, на пример помоћу ss -lntp 'sport = :1194'. Демон везан само за 127.0.0.1 прихвата локалне клијенте и ништа кроз тунел, што споља изгледа тачно као филтриран порт.

Затим прочитајте локална правила у синтакси коју бисте користили да их промените, попут iptables -S INPUT или nft list chain inet filter input. Правило написано у датотеку али никада учитано, или подразумевано одбацивање без одговарајуће дозволе, тихо одбацује пакете. За мрежни пролаз који прослеђује, проверите и поставке прослеђивања и повратне путање. Оне одлучују шта се дешава са пакетима који се усмеравају кроз инстанцу, а нису јој адресирани.

Са стањем у једном слоју, без стања у следећем

Безбедносне групе памте токове које су дозволиле и пуштају одговоре назад. Листе за контролу приступа подмрежа и многи заштитни зидови домаћина не чувају такво стање, па правило које покрива само излазни смер пропушта захтев и одбацује одговор. Никада не преносите претпоставку о повратном саобраћају између слојева без читања правила другог слоја (second layer's rule).

Бројачи то решавају брже од читања сваког правила на налогу. Бројач који расте значи да је пакет стигао и тамо одбачен, а онај замрзнут на нули значи да никада није стигао дотле; iptables -vnL INPUT и nft list ruleset показују те бројеве када су правила учитана са бројачима.

Тестирајте новом сесијом, не живом

Не дирајте изворну мрежу и тест профил док поредите приказе, и отворите нову везу после сваке измене. Долазак до веб конзоле на 443 не говори ништа о томе да ли је VPN демон везан за 1194, зато тестирајте порт који вам треба. Постојећа сесија је овде најгори сведок. Наставља да ради док се свака нова пријава одбија.

Пре уређивања удаљене политике обезбедите пут назад који не зависи од путање коју мењате. Затим отворите другу административну сесију уз VPN тест: она успостављена раније може да надживи правило које блокира нове. Забележите оба власника политика да ниједна обнова не врати пола путање; ако се оба слоја слажу, а тунел и даље не ради, снимите на интерфејсу госта и проверите адресу и порт које клијент заиста користи.