Kituo cha usalama bado kinazuia trafiki baada ya VPN kukatika

Tuneli imeondoka, aikoni ya mtandao inaonekana kawaida, na hakuna kinachopakiwa. Ulikata VPN, ukaiondoa, au ukawasha upya, na kizuizi kilichopaswa kukulinda wakati wa kukatika bado kimesimama. Dirisha la mteja haliwezi kueleza, kwa sababu si mteja anayekuzuia: uamuzi uliandikwa kwenye kernel kwa jina lako, na hakuna kilichobaki cha kuuondoa. Kwenye Windows hali hiyo iko ndani ya Windows Filtering Platform; kwenye Linux ni seti ya kanuni katika iptables au nftables, mara nyingi ikiwa na picha inayorudiwa wakati wa kuwasha. Yafuatayo ni mpangilio ninaotumia: soma hali, futa kitu chembamba zaidi kinachoeleza hitilafu, kisha tafuta chochote kinachoendelea kukirudisha.

Kituo cha usalama ni hali ya kernel, si mpangilio

Wateja wa desktop hutekeleza kuzuia kwa kuongeza vichujio vinavyokataa trafiki nje ya tuneli. Kwenye Windows hivyo ni vichujio vya WFP kwenye tabaka za connect-redirect na transport, na baadhi ni vya kudumu: hurekodiwa kwenye hifadhi ya sera ya Base Filtering Engine na kurejeshwa wakati mashine inawaka, kabla ya programu yoyote ya VPN kuanza. Wateja hutofautiana katika wakati wa kusafisha. Wengine huondoa vichujio wakati wa kukatika, wengine tu wakati wa kutoka safi, na wengine tu ikiwa kituo kimezimwa kwanza. Ondoa usakinishaji wakati kizuizi kikiwa hai, au ua mchakato, na vichujio vinabaki.

Kilinganisho cha Linux ni kanuni ya drop au reject kwenye njia ya kutoka, wakati mwingine kanuni ya forwarding, wakati mwingine sera ya mnyororo iliyobadilishwa. Kanuni hizo huishi muda mrefu kuliko mchakato ulioziongeza kwa sababu ni hali ya kernel: ua mteja, uangushe, au ukate umeme, na kernel inaendelea kudondosha pakiti na hakuna kinachobaki cha kuibatilisha. Kifurushi cha uendelevu huongeza tabaka la pili la uendelevu kwa kuchukua picha ya seti ya kanuni za sasa na kuirejesha wakati wa kuwasha, hivyo mwanzo ujao huanza na kizuizi kikiwa tayari kimesakinishwa.

Soma hali ya WFP kabla ya kufuta chochote

Windows huja na zana unazohitaji. Endesha terminal ya msimamizi na toa hali ya jukwaa; dump itaonekana kama wfpstate.xml kwenye saraka ya kazi.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

Tafuta kwenye XML jina la msambazaji aliyeondoka, kitendo cha Block, na tabaka. Vichujio vya connect-redirect na transport ndivyo vinavyovunja trafiki ya kawaida; kichujio cha tabaka la receive-accept kwa kawaida si sababu yako. Ikiwa Base Filtering Engine haifanyi kazi kabisa, tafuta mahali pengine, kwa sababu hakuna kingine kinachoweza kutekeleza vichujio hivyo.

Angalia pia mwonekano wa kawaida wa firewall, kwa kuwa watu wengi hukagua kimoja tu kati ya mawili:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Wakati profaili zilizojengwa ndani zimewashwa na hakuna kanuni inayolingana na trafiki inayoshindikana, kizuizi hutoka kwa mtoa huduma wa mtu wa tatu na si kwa Windows Firewall. Tofauti hiyo huamua zana gani utatumia kwa ukarabati.

Soma kanuni za Linux kwa sintaksia utakayotumia kufuta

iptables -S huchapisha kanuni kwa muundo ule ule zilizoongezwa, hivyo matokeo yanaweza kutumika tena moja kwa moja kwa kufuta. iptables -L -v -n huongeza vihesabu vya pakiti, na vihesabu hivyo hukuambia kama kanuni inalingana kweli na maombi yako yaliyoshindikana au inakaa tu kwenye mnyororo.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

Soma sera za mnyororo, si kanuni tu: -P OUTPUT DROP huzuia trafiki hata wakati hakuna kanuni inayolingana. Kagua IPv6 kwa tofauti, kwa sababu mteja anayesakinisha familia zote mbili anaweza kuacha kizuizi cha IPv6 mahali pake baada ya kanuni za IPv4 kuondoka, na dalili basi hutegemea familia ambayo programu inapendelea. Mahali nftables inatumika, endesha pia nft list ruleset; zana mbili zinaishi pamoja kupitia tabaka la uoanifu, na orodha moja haionyeshi kila kanuni inayoweza kudondosha pakiti.

Futa kitu chembamba zaidi kinachoeleza hitilafu

Kwenye Windows hatua ya kwanza bado ni njia ya msambazaji mwenyewe ya kuondoa: endesha tena kisakinishi na utumie repair au uninstall, au endesha zana ya kusafisha ikiwa msambazaji anaichapisha. Huduma na kazi zilizopangwa zilizobaki ni kawaida, na kazi inayoanzisha mteja wakati wa kuingia husakinisha tena vichujio vyake kwenye kuwasha kunakofuata. Kuondoa kunakoshindikana wakati wa kusoma ufunguo wa rejista ya mteja kwa kawaida humaanisha kuwa huduma au kazi bado imeushikilia, si kwamba rejista imeharibika.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

Vichujio vya kudumu ni suluhisho la mwisho. Viko chini ya HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter, thamani moja kwa kila kichujio kwa ufunguo wa GUID. Hamisha ufunguo kwanza, andika GUID unazoondoa, futa tu thamani zinazomilikiwa na mteja aliyeondoka, kisha washa upya ili injini iunde upya hali yake. Usifute ufunguo wote na usizime Base Filtering Engine: Windows Firewall na Defender hutegemea, na utabadilisha usumbufu mmoja na mbaya zaidi.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

Kwenye Linux chukua mstari uliochapishwa na iptables -S na ubadilishe -A na -D. Kufuta kanuni moja uliyoigundua ni bora kuliko kumwaga mnyororo, kwa sababu sera yako mwenyewe inabaki salama.

sudo iptables -D OUTPUT -p udp -j REJECT

Ikiwa drop iko kwenye mnyororo uliofafanuliwa na mtumiaji, kwanza futa kuruka kwenda mnyororo huo na kisha uondoe mnyororo kwa -X. Kuweka sera ya mnyororo kuwa ACCEPT wakati kanuni za drop zikiwa bado zipo huzisaidia tu pakiti zinazofikia uamuzi wa sera. Kumwaga majedwali yote ni suluhisho la mwisho: huondoa pia kanuni ulizoongeza kwa sababu nyingine, na ufw ikiwa imewashwa huiacha huduma ikiamini inamiliki mnyororo ambao haupo tena.

Pata mmiliki anayerudisha

Baada ya ukarabati wa haraka, tafuta chochote kingerudisha hali. Kwenye Linux angalia kama kitengo cha uendelevu kimewashwa, kama mteja ana mpangilio wa kurejesha firewall wakati wa kuingia, na kama faili ya kanuni iliyohifadhiwa ipo chini ya /etc. Kwenye Windows angalia tena maingizo ya kuanza, huduma na kazi zilizopangwa, kisha washa upya na usome hali kwa amri zile zile kama awali.

Ikiwa kizuizi kinarudi, kufuta hakukuwa suluhisho; mmiliki ndiye alikuwa. Andika ni mteja au huduma gani inaisakinisha na uzime kipengele hapo, badala ya kupigana nacho kwenye tabaka la firewall baada ya kila kukatika.

Thibitisha kwa trafiki halisi, si ping moja

Jaribu utatuzi wa jina, muunganisho wa TCP na kipindi kipya cha kivinjari, kisha washa upya na urudie ukaguzi huo watatu. Ping inayofanya kazi wakati HTTPS inashindikana inaonyesha kichujio cha tabaka la transport na si mtandao, na kizuizi kinachotokea tena tu baada ya kuwasha upya kinaonyesha mmiliki ambaye bado hujampata.

Hifadhi ushahidi: ufunguo wa BFE uliohamishwa, au matokeo ya iptables -S yaliyonaswa kabla ya mabadiliko. Kabla ya kusema imerekebishwa, thibitisha tabaka uliloondoa kitu kutoka kwake, mmiliki anayeweza kuisakinisha tena, hali baada ya kuwasha upya mara moja safi, na kwamba kuvinjari kwa kawaida kunafanya kazi bila mchakato wa VPN. Ukurasa wa mwongozo wa iptables(8) una sintaksia sahihi ya kufuta na ya sera ikiwa unaandika usafishaji kama skripti.