Du satte VPN-adressen på vitlistan och ändå blockeras den? Spåra det

Att sätta adressen som en VPN-app visar på vitlistan löser sällan en blockerad port, och paketet förklarar varför. Brandväggen ignorerar inte din regel; den utvärderar ett källadress som inget på klientens skärm visar. Tills destinationen rapporterar det värdet är varje regeländring en gissning.

Börja med förfrågan som når tjänsten. Tunneladressen, utgångsadressen och varje översättning däremellan förblir hypoteser tills destinationen bekräftar en av dem.

Adressen i appen är inte den som anländer

En VPN-anslutning bär minst fyra adresser som är värda att namnge var för sig: serverns ändpunkt, den inre tunneladressen som tilldelats din klient, den lokala Wi-Fi- eller Ethernet-adressen och den offentliga adressen som en webbplats ser efter att trafiken lämnat leverantören. Ett klientfönster kan visa bara den andra. Namnge alla fyra innan du namnger en regel. Med delad tunnel kan förfrågningar till ett offentligt mål hoppa över tunneln helt, så den misslyckade sessionen är inte den användaren tror att den startade.

Avgör vilken av de fyra regeln ska tillåta och verifiera den sedan från andra sidan. Om kravet verkligen är en kontorsadress är villkoret rutten plus den platsens utgångsordning, och en anslutning märkt Office VPN ger ingen av dem av sig själv.

Spåra en förfrågan till dess filtreringsgräns

Bekräfta destinationsadressen och porten som klienten använder och kontrollera sedan att denna destination följer den väg du antar. En publicerad containerport, en omvänd proxy eller en portvidarebefordran kan flytta beslutet till en värd som du aldrig har redigerat. Varje sådant hopp kan bära sin egen policy. Att fastställa vägen först sparar dig från att rätta en regel som inget paket någonsin når.

På en auktoriserad Linux-värd, läs de aktiva reglerna i ordning innan du ändrar dem. Vidarebefordrade tjänster och containertjänster hoppar ofta in i sin egen kedja, så granska både hoppmålet och den slutliga domen.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Ange det matchande regelnumret i ärendet. Utan det kan nästa läsare inte se vilken ändring som ändrade resultatet. Ett regelnummer utan tidsstämpel är fortfarande tvetydigt.

Verifiera vägen med en avgränsad inspelning

En ofarlig förfrågan och en smal inspelning avgör frågan som ständigt återkommer. Filtrera på destinationsporten och värden som undersöks, begränsa antalet paket och stoppa inspelningen så snart förfrågan är klar.

tcpdump -ni any 'tcp dst port 9443' -c 20

Jämför tre värden sida vid sida: källan i inspelningen, källan som den matchande regeln anger och avvisningen som applikationen loggade. Alla kan skilja sig, och bara den första förklarar ett tapp som beslutats av en IP-regel. En vidarebefordrad HTTP-header tillhör proxylagret, så en logg som citerar den headern beskriver inte källan som brandväggen utvärderade.

Läs kedjeordningen, inte bara regeln

iptables-referensen dokumenterar ordnad genomgång, och därför räddar en tillåtelse som ligger under en matchande terminal avvisning aldrig paketet. En anslutning som accepterats tidigare kan också bete sig annorlunda än en ny, så en gammal framgång säger ingenting om den nya regeln. Hitta avvisningen eller tappet ovanför din tillåtelse innan du antar att tillåtelsen är fel. Räknarna per regel berättar också vilken regel som såg paketet.

Att radera en regel för att se vad som händer är en ändring, inte en observation. Läs räknarna, notera regelnumret och behåll den ursprungliga policyn i ändringsloggen. Om ett test är oundvikligt, kör det på en kopia av kedjan.

Ändra regeln som ägaren kontrollerar

Uppdatera endast den avsedda käll- och tjänstepolicyn, genom den som äger den. En delad översatt utgång kan representera många användare samtidigt, så att tillåta den adressen autentiserar ingen, och applikationsbehörigheterna bakom den stannar där de är.

När adressen fortsätter att flytta sig är det hållbara svaret en stabil utgång eller en autentiserad kanal, inte en längre undantagslista. Registrera den observerade källan, destinationsporten och regelnumret.