Je, Firewall Inazuia VPN? Ukaguzi Hatua kwa Hatua

Muda mmoja wa VPN kuisha unathibitisha kuwa hakuna jibu linaloweza kutumika lililofika, na haithibitishi chochote kuhusu sababu. Wasifu unaweza kutaja bandari isiyo sahihi, seva inaweza kuwa imezimwa, au ombi linaweza kufika bila njia ya kurudi inayofanya kazi. Kila moja ya haya huacha alama tofauti, na alama hiyo ndiyo inayokuambia kanuni gani ya kugusa. Pitia hatua nne zilizo hapa chini kwa mpangilio. Acha mara moja pale moja yao inapoeleza dalili.

Hatua 1: thibitisha seva na usafirishaji

Soma jina la seva, usafirishaji na bandari kutoka wasifu wa sasa wa mwendeshaji na si kutoka mabadiliko ya ndani. Bandari iliyobadilishwa kwenye kompyuta yako haiwezi kuunda kipokezi kwenye seva ya umma, na kutokulingana huko huzalisha muda kuisha sawa na kizuizi. Ikiwa wasifu unatoa usafirishaji mbadala unaotumika, uandike kama mbadala na si kama suluhisho. Tatua jina na linganisha jibu na anwani ambayo mwendeshaji alichapisha.

Rekodi ya DNS ya zamani inamtuma mteja kwa mwenyeji ambaye hakuwahi kujibu. Hiyo ni hitilafu nyingine inayoiga kichujio, na kuiondoa kunagharimu swali moja.

Andika thamani zote mbili kwenye tiketi. Kila ulinganisho wa baadaye huzitumia, na tiketi bila hizo huanza uchunguzi upya.

Hatua 2: thibitisha njia kwa ulinganisho mmoja uliodhibitiwa

Acha kifaa na wasifu bila mabadiliko na ujaribu mtandao mwingine wa ufikiaji unaoaminika. Ikiwa handaki itainuka hapo, tofauti ni njia ya awali au sera yake. Ikiwa kifaa cha pili kilichoidhinishwa kinafanya kazi kwenye mtandao wa awali, tofauti ni kifaa cha kwanza. Mojawapo ya ulinganisho huu miwili karibu kila mara ni ya kuamua.

Kamilisha kwanza uingiaji wowote halali wa mtandao, kwa sababu lango la kukamatwa linaonekana kama kizuizi hadi likamilike.

Jaribu bandari unayotumia kwa kweli, na chukua matokeo ya TCP kama taarifa kuhusu TCP pekee.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Ushirikiano wa TCP uliofanikiwa kwenye bandari 443 unamaanisha kipokezi kilijibu hapo. Hakisemi chochote kuhusu kipokezi cha UDP kwenye 51820, wala kama majadiliano yalikamilika.

Hatua 3: soma matukio ya usalama ya wakati wa kushindwa

Matukio ya firewall ni ushahidi wenye nguvu zaidi unaopatikana, na yana tahadhari inayofaa kutajwa kwanza. Uwekaji kumbukumbu umezimwa katika wasifu wengi chaguo-msingi, kwa hivyo angalia kama wasifu husika hurekodi kutupwa kabla ya kusoma kumbukumbu tupu kama ushahidi wa kutokuwa na hatia. Uwekaji kumbukumbu ukiwa umewashwa, tukio hutaja kanuni, mwelekeo na anwani, ambayo ndiyo hasa inayohitajika kwa mabadiliko ya kanuni. Kanuni za programu na kanuni za bandari ni vitu tofauti, na sera inayosimamiwa inaweza kupindua mpangilio wa ndani. Thibitisha mteja gani na huduma gani kanuni inashughulikia kwa kweli.

Kusanya hali ya wasifu na matukio ya hivi karibuni kutoka kwa mashine iliyoshindwa, si kutoka kwa mwenyeji jirani.

Linganisha muda wa tukio na muda wa jaribio lako la majaribio, kwa sababu jina la kanuni linalolingana na muhuri wa muda tofauti ni bahati mbaya.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Kwenye seva unayosimamia, uliza kama ombi lilifika kwa kipokezi kabisa. Kifurushi kinachofika bila jibu ni tatizo la upelekaji au njia ya kurudi. Ombi lisiloonekana kamwe ni tatizo la uchujaji au uanwani.

Hatua 4: jaribu upelekaji baada ya handaki kuinuka

Firewall inaweza kuruhusu kikao na bado ikakataa kila kitu ambacho kikao kinataka kufikia. Sysctl za upelekaji, kanuni za NAT na njia za kurudi zote ziko baada ya uthibitishaji, na msamaha mpana kwa bandari ya VPN hautengenezi hata moja yao. Jaribu lengo moja la ndani na lengo moja la intaneti kwa tofauti, kwa sababu kwa kawaida hushindwa kwa sababu tofauti. Ikiwa majina ya ndani yanashindwa lakini anwani zinafanya kazi, angalia DNS iliyosukumwa kabla ya kanuni yoyote.

Endesha ukaguzi tatu zilizo hapa chini kwenye seva wakati mteja ameunganishwa na anajaribu ombi linaloshindwa.

Vihesabu kwenye kiolesura cha handaki ndio hoja, kwa sababu vinaonyesha kama vifurushi viliingia na kama kitu kilitoka.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Wakati vifurushi vinafika kwenye handaki na hakuna kinachotoka kuelekea lengo, mtuhumiwa ni upelekaji au NAT. Wakati hakuna kinachofika, kikao kiko juu lakini mteja hatumi, na mahali pa kuangalia ni jedwali la njia la mteja.

Thibitisha marekebisho na uondoe kile ambacho hakikusaidia

Baada ya marekebisho yaliyoidhinishwa, rudia majaribio yale yale yaliyoshindwa na urekodi matokeo dhidi ya wasifu na kifaa kilekile. Kisha uondoe msamaha wowote wa muda ambao haukubadilisha matokeo, kwa sababu msamaha usiotumika hukusanyika na kila mmoja ni uamuzi ambao hakuna anayekumbuka. Weka kilichobaki kiembamba: lengo moja, bandari moja, mwelekeo mmoja, mmiliki mmoja.

Endesha tena amri zilezile tatu na uzilinganishe na matokeo uliyohifadhi kabla ya mabadiliko.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Wakati mtandao wa ulinganisho unafanya kazi, mtandao wa awali bado unashindwa na matukio yanabaki matupu, mtuhumiwa aliyebaki ni njia na si mwenyeji. Mkabidhi mmiliki wa mtandao kama tamko mahususi, ukiambatanisha matokeo yote mawili ya ulinganisho. Hapo ni mahali pazuri pa kusimama kuliko wasifu wa firewall uliozimwa.