Да ли заштитни зид блокира VPN? Провера корак по корак

Један истек времена VPN-а доказује да није стигао никакав употребљив одговор и ништа не доказује о разлогу. Профил може навести погрешан порт, сервер може бити недоступан или захтев може стићи без радне повратне путање. Свако од тога оставља другачији траг, а траг је оно што вам каже коју регулу додирнути. Прођите кроз четири фазе испод редом. Зауставите се чим једна од њих објасни симптом.

Корак 1: потврдите сервер и транспорт

Прочитајте име сервера, транспорт и порт из тренутног профила оператера, а не из локалне измене. Порт промењен на вашем преносном рачунару не може створити слушаоца на јавном серверу, а то неслагање даје истек времена идентичан блокади. Ако профил нуди подржани алтернативни транспорт, забележите га као резерву, а не као решење. Разрешите име и упоредите одговор са адресом коју је оператер објавио.

Застарели DNS запис шаље клијента на домаћина који никада није одговорио. То је још једна грешка која имитира филтер и кошта један упит да се искључи.

Запишите обе вредности у тикет. Свако касније поређење их користи, а тикет без њих започиње истрагу изнова.

Корак 2: докажите путању једним контролисаним поређењем

Оставите уређај и профил непромењене и покушајте другу проверену приступну мрежу. Ако се тунел тамо подигне, разлика је у изворној путањи или њеној политици. Ако други одобрени уређај ради на изворној мрежи, разлика је у првом уређају. Једно од тих двају поређења готово је увек одлучујуће.

Прво довршите сваку легитимну мрежну пријаву, јер captive портал изгледа као блокада док се не заврши.

Тестирајте порт који заиста користите и третирајте TCP резултат као информацију само о TCP-у.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Успешно TCP руковање на порту 443 значи да је тамо одговорио слушалац. Ништа не каже о UDP слушаоцу на 51820 нити о томе да ли су преговори завршени.

Корак 3: прочитајте безбедносне догађаје за тренутак квара

Догађаји заштитног зида најјачи су доступни доказ и носе ограду коју вреди прво навести. Записивање је искључено у многим подразумеваним профилима, па проверите бележи ли дотични профил одбацивања пре него што празан дневник прочитате као доказ невиности. Када је записивање укључено, догађај наводи правило, смер и адресе, што је управо оно што измена правила треба. Правила апликација и правила портова одвојени су објекти, а управљана политика може надјачати локалну поставку. Потврдите који клијент и коју услугу правило заиста покрива.

Прикупљајте стање профила и недавне догађаје са машине која је заказала, а не са суседног домаћина.

Упоредите време догађаја са временом свог покушаја теста, јер подударно име правила с другим временским жигом је случајност.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

На серверу којим управљате питајте да ли је захтев уопште стигао до слушаоца. Пакет који стигне без одговора проблем је прослеђивања или повратне руте. Захтев који се никада не појави проблем је филтрирања или адресирања.

Корак 4: тестирајте прослеђивање након подизања тунела

Заштитни зид може допустити сесију и ипак одбити све до чега сесија жели да дође. Sysctl за прослеђивање, NAT правила и повратне руте стоје након аутентификације и широко изузеће за VPN порт не поправља ниједно од њих. Тестирајте једну унутрашњу дестинацију и једну интернет дестинацију одвојено, јер обично закажу због различитих разлога. Ако унутрашња имена закажу, а адресе раде, погледајте гурнути DNS пре било ког правила.

Извршите три провере испод на серверу док је клијент повезан и покушава захтев који заказује.

Бројачи на интерфејсу тунела су поента, јер показују јесу ли пакети ушли и је ли ишта изашло.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Када пакети стигну на тунел и ништа не изађе према дестинацији, сумњивац је прослеђивање или NAT. Када ништа не стигне, сесија је подигнута али клијент не шаље, а место за погледати је табела рута клијента.

Проверите поправку и уклоните оно што није помогло

Након одобрене корекције поновите тачно онај тест који је заказао и забележите резултат према истом профилу и уређају. Затим уклоните свако привремено изузеће које није променило исход, јер се неискоришћена изузећа гомилају и свако је одлука које се нико не сећа. Остатак држите уским: једна дестинација, један порт, један смер, један власник.

Поново покрените исте три наредбе и упоредите их са излазима које сте сачували пре измене.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Када упоредна мрежа ради, изворна мрежа још заказује и догађаји остану празни, преостали сумњивац је путања, а не домаћин. Предајте то власнику мреже као конкретну изјаву, с приложена оба резултата поређења. То је боље место за заустављање од онемогућеног профила заштитног зида.