Додали сте VPN адресу на белу листу, а блокирање остаје? Пратите је

Додавање адресе коју приказује VPN апликација на белу листу ретко поправља блокиран порт, а пакет објашњава зашто. Заштитни зид не игнорише ваше правило; он оцењује изворну адресу коју ништа на екрану клијента не приказује. Док одредиште не пријави ту вредност, свака измена правила је нагађање.

Почните од захтева који стиже до услуге. Адреса тунела, излазна адреса и свако превођење између њих остају претпоставке док одредиште не потврди једну од њих.

Адреса у апликацији није она која стиже

VPN веза носи најмање четири адресе које вреди појединачно именовати: крајњу тачку сервера, унутрашњу адресу тунела додељену вашем клијенту, локалну Wi-Fi или Ethernet адресу и јавну адресу коју веб-сајт види након што саобраћај напусти провајдера. Прозор клијента може приказивати само другу. Именујте све четири пре него што именујете правило. Са подељеним тунелом, захтеви ка јавном одредишту могу потпуно заобићи тунел, тако да неуспела сесија није она за коју корисник мисли да ју је започео.

Одлучите коју од те четири правило треба да дозволи, па је проверите са друге стране. Ако је захтев заиста канцеларијска адреса, услов је рута плус излазно уређење тог места, а веза означена као Office VPN не пружа ни једно од тога сама по себи.

Пратите један захтев до његове границе филтрирања

Потврдите одредишну адресу и порт које клијент користи, затим проверите да ли то одредиште следи пут који претпостављате. Објављен порт контејнера, обрнути прокси или прослеђивање порта могу преместити одлуку на домаћина који никада нисте уређивали. Сваки од тих скокова може носити сопствену политику. Утврђивање пута најпре вас штеди од поправљања правила до којег ниједан пакет не стиже.

На овлашћеном Linux домаћину прочитајте активна правила по реду пре него што их промените. Прослеђене и контејнерске услуге често скачу у сопствени ланац, зато прегледајте циљ скока као и коначну пресуду.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Наведите одговарајући број правила у тикету. Без њега следећи читалац не може знати која је измена променила исход. Број правила без временске ознаке и даље је двосмислен.

Проверите пут једним ограниченим снимањем

Један безопасан захтев и једно уско снимање решавају питање које се стално враћа. Филтрирајте по одредишном порту и домаћину који се истражује, ограничите број пакета и зауставите снимање чим захтев заврши.

tcpdump -ni any 'tcp dst port 9443' -c 20

Упоредите три вредности једну уз другу: извор у снимку, извор који наводи одговарајуће правило и одбијање које је апликација забележила. Сви могу да се разликују, а само први објашњава пад који је одредило IP правило. Прослеђено HTTP заглавље припада слоју проксија, зато запис који цитира то заглавље не описује извор који је заштитни зид оценио.

Читајте редослед ланца, не само правило

iptables референца документује уредан пролаз, зато дозвола која стоји испод одговарајућег коначног одбијања никада не спашава пакет. Веза прихваћена раније може се понашати другачије од нове, па стари успех не говори ништа о новом правилу. Пронађите одбијање или пад изнад своје дозволе пре него што претпоставите да је дозвола погрешна. Бројачи по правилу такође говоре које је правило видело пакет.

Брисање правила да бисте видели шта ће се догодити је измена, а не посматрање. Прочитајте бројаче, забележите број правила и сачувајте изворну политику у запису измена. Ако је тест неизбежан, извршите га на копији ланца.

Промените правило које контролише његов власник

Ажурирајте само предвиђену политику извора и услуге, преко онога ко је поседује. Дељени преведени излаз може представљати много корисника одједном, па дозвољавање те адресе никога не аутентификује, а дозволе апликације иза ње остају тамо где јесу.

Када се адреса стално помера, трајан одговор је стабилан излаз или аутентификован канал, а не дужа листа изузетака. Забележите посматрани извор, одредишни порт и број правила.