VPN కనెక్ట్ అయింది కానీ ఫైర్‌వాల్ ఇంకా నిరోధిస్తోంది: ఏదో తెలుసుకోవడం ఎలా
టన్నెల్ నడుస్తోంది, ఒక పోర్ట్ ఇంకా విఫలమవుతోంది. మొదట మార్గాన్ని చదవండి, తర్వాత ప్రతి పొరలోని విధానాన్ని, మరియు రెండు నియంత్రణల్లో ఒకదాన్ని ఆఫ్ చేయడం బదులు అత్యంత సన్నని నియమాన్ని మార్చండి.
క్లయింట్ కనెక్ట్ అయింది అంటోంది, వనరు ఇంకా తిరస్కరిస్తోంది, మరియు తదుపరి సాధారణ అడుగు ఏదో ఆఫ్ చేయడం. ఆ వాక్యంలోని రెండు నియంత్రణలు వేర్వేరు పనులు చేస్తాయి: VPN కవర్ చేయబడిన ట్రాఫిక్‌కు మార్గం నిర్మిస్తుంది, ఫైర్‌వాల్ ప్రతి కనెక్షన్‌కు ట్రాఫిక్ దాటవచ్చా అని నిర్ణయిస్తుంది. తిరస్కరించే విధానంతో నడిచే టన్నెల్ వినియోగదారు కుర్చీ నుండి పాడైన టన్నెల్‌లాగే కనిపిస్తుంది, కాబట్టి ఏ పొర సమాధానమిస్తోందో కనుక్కోవడమే పని. నేను అనుసరించే క్రమం ఇది, ఆపమని చెప్పే పఠనంతో పాటు.
మార్గాన్ని విధానం నుండి వేరు చేయండి
విఫలత రూపంతో ప్రారంభించండి, ఎందుకంటే అది ఉచిత సమాచారం. ప్యాకెట్ పడిపోవడం సమయ పరిమితిని కలిగిస్తుంది: క్లయింట్ మళ్లీ ప్రయత్నిస్తుంది, ఏమీ తిరిగి రాదు, ఆదేశం లొంగిపోయే వరకు వేలాడుతుంది. తిరస్కరణ నిరాకరణ లేదా రీసెట్‌ను కలిగిస్తుంది: ఏదో సమాధానమిచ్చి లేదు అని చెప్పింది. వినని సేవ హోస్ట్‌పైనే తిరస్కరిస్తుంది, ఏ ఫైర్‌వాల్ లేకుండా.
ఆ మూడు ఫలితాలు వేర్వేరు పొరలను సూచిస్తాయి. సమయ పరిమితి అంటే ఎక్కడో ఒక విధానం నిశ్శబ్దంగా పడేస్తోంది, లేదా మార్గం యంత్రం నుండి బయటకు వెళ్లదు. తిరస్కరించబడింది అంటే మీరు హోస్ట్‌ను చేరుకున్నారు, దాని స్టాక్ లేదా స్థానిక ఫైర్‌వాల్ తిరస్కరించింది. పూర్తి నిశ్శబ్దం, టన్నెల్ ఇంటర్‌ఫేస్ పైన ఉండి గమ్యానికి మార్గం లేకపోతే, మార్గం తప్పు మరియు ఏ ఫైర్‌వాల్ నియమం దాన్ని సరిచేయదు.
మార్గాన్ని ఒకే పాస్‌లో చదవండి
ఒక నియమం కూడా చూసే ముందు టన్నెల్ గమ్యాన్ని కవర్ చేస్తుందని నిర్ధారించుకోండి. కార్యాలయ ఉపవలయాన్ని మాత్రమే మోసే విభజిత టన్నెల్ అభ్యర్థనను మరో పరిధికి పంపదు, అప్పుడు విఫలత ఫైర్‌వాల్ నిరోధంలా కనిపిస్తుంది, అది కాకపోయినా:
ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusallమార్గం యొక్క అవుట్‌పుట్ ప్యాకెట్ ఏ ఇంటర్‌ఫేస్ నుండి బయటకు వెళ్తుంది మరియు ఏ మూల చిరునామా మోస్తుంది అని చెబుతుంది. ఆ ఇంటర్‌ఫేస్ టన్నెల్ కాదు, మీ భౌతిక నెట్‌వర్క్ కార్డ్ అయితే, సమస్య రూటింగ్‌లో లేదా టన్నెల్ అనుమతించిన పరిధుల్లో ఉంది, అది ఫైర్‌వాల్‌కు కాదు, VPN కాన్ఫిగరేషన్‌కు చెందుతుంది.
VPN-కి ప్రత్యేకమైన ఒక ఉచ్చు దాని స్వంత పరిశీలనకు అర్హం. WireGuard లో పీర్ యొక్క AllowedIPs ఒకేసారి మార్గం మరియు గుప్తలేఖన వడపోత: మూల చిరునామా పీర్ అనుమతించిన సమితితో సరిపోలని ప్యాకెట్ ఏ ఫైర్‌వాల్ నియమాన్ని చూసే ముందే పడేయబడుతుంది. కాబట్టి పూర్తిగా సరైన హోస్ట్ ఫైర్‌వాల్ కూడా విధానంలా కనిపించే నిశ్శబ్ద పడేతకు వెనుక ఉండవచ్చు, మరియు పరిష్కారం నియమం కాదు, కీ కాన్ఫిగరేషన్ లైన్.
సమాధానమిచ్చే పొరలో విధానాన్ని చదవండి
మార్గం సరైనదైన తర్వాత, హోస్ట్ నుండి బయటకు విధానం గుండా వెళ్లి, కౌంటర్లు కదిలే ఒకే పొరను గమనించండి:
ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verboseవినే సాకెట్ నియమాల కంటే వేరే ప్రశ్నకు సమాధానమిస్తుంది. పోర్ట్‌పై ఏమీ వినకపోతే, కర్నెల్ కనెక్షన్‌ను తిరస్కరిస్తుంది మరియు ఏ ఇన్‌బౌండ్ నియమం సంబంధితం కాదు. సాకెట్ ఉండి, దూర క్లయింట్ నుండి కనెక్షన్ గడువు ముగిస్తే, మార్గంలో ఎక్కడో పడేత జరుగుతోంది, నియమాల కౌంటర్లు అది ఇక్కడ జరుగుతోందా అని చెబుతాయి.
బయట నుండి ఊహించడం బదులు మీరు అనుమానించే ప్రొఫైల్ లేదా గొలుసుకు లాగింగ్ ఆన్ చేయండి. మూలం, గమ్యం మరియు పోర్ట్‌ను పేర్కొనే ఒక నమోదైన పడేత పొరను మరియు నియమాన్ని గుర్తిస్తుంది, ప్యాకెట్ చేరిందని కూడా నిరూపిస్తుంది, దీన్ని క్లయింట్ వైపు ఏ పరీక్షా నిర్ధారించలేదు.
టన్నెల్ అక్కడే ముగిస్తే గేట్‌వే నిర్ణయాన్ని చదవండి
సైట్-టు-సైట్ లేదా రిమోట్ యాక్సెస్ గేట్‌వేలో, VPN వినియోగదారుని ప్రామాణీకరిస్తుంది, విధానం వనరుకు అధికారం ఇస్తుంది, అవి వేర్వేరు అనుమతులు. టన్నెల్‌లోకి అనుమతించబడిన వినియోగదారుడు ప్రతి అంతర్గత హోస్ట్‌కు స్వయంచాలకంగా అనుమతించబడడు, మరియు తిరస్కరణ తరచుగా టన్నెల్ ఆరోగ్యంగా ఉండగానే ఫార్వార్డింగ్ నియమం నుండి వస్తుంది. అదే విభజన IPsec లో కూడా కనిపిస్తుంది, అక్కడ ట్రాఫిక్ ఎంచుకునే భద్రతా విధానం దాన్ని అనుమతించే వడపోతకు భిన్నం, అందుకే రెండూ వేర్వేరు యాంత్రికతలుగా RFC 4301.
తిరిగి వచ్చే మార్గాన్ని వెళ్లే మార్గం అంత జాగ్రత్తగా పరిశీలించండి. స్థితి వడపోత జవాబును చూడాలి, కాబట్టి టన్నెల్ ద్వారా ఒక దిశలో, దాని చుట్టూ మరో దిశలో అసమాన రూటింగ్ యాదృచ్ఛికంగా కనిపించే, కొన్ని క్లయింట్ల నుండి మాత్రమే పునరావృతమయ్యే పడేతలను కలిగిస్తుంది. ట్రాఫిక్ గేట్‌వేను చేరి ఆగిపోతే, ఏదైనా విస్తరించే ముందు ఫార్వార్డింగ్ నియమాన్ని మరియు తిరిగి వచ్చే మార్గాన్ని కలిపి చదవండి.
గేట్‌వే NAT లేదా మాస్కింగ్ నియమం నిజమైన మూలాన్ని దాచగల ప్రదేశం కూడా. అంతర్గత హోస్ట్‌లు క్లయింట్ బదులు గేట్‌వే చిరునామా చూస్తే, క్లయింట్ పూల్‌తో సరిపోలాల్సిన వాటి హోస్ట్ ఫైర్‌వాల్ నియమాలు ఎప్పటికీ సరిపోలవు, పరిష్కారం ప్రతి సర్వర్‌పై కాదు, గేట్‌వేపై ఉంటుంది.
అత్యంత సన్నని పొరను మార్చండి, తర్వాత ధృవీకరించండి
విస్తృత మరమ్మతును ఎదిరించండి. హోస్ట్ ఫైర్‌వాల్ ఆఫ్ చేయడం, అన్నింటినీ అనుమతించే నియమాన్ని జోడించడం, లేదా ప్రతి ఇంటర్‌ఫేస్‌ను విశ్వసనీయ ప్రొఫైల్‌లోకి నెట్టడం — ప్రతిదీ తన పని చేస్తున్న నియంత్రణను తొలగిస్తుంది, మార్పు సంఘటన తర్వాత కూడా నిలిచి ఉంటుంది. మూల పరిధి మరియు సంబంధిత పోర్ట్‌కు పరిమితమైన నియమం సమీక్షించడం సులభం, తొలగించడం సులభం, యంత్రం మిగిలిన విధానాన్ని చెక్కుచెదరకుండా ఉంచుతుంది.
విఫలమైన అదే పరీక్షతో, అదే క్లయింట్ నుండి ధృవీకరించండి, తర్వాత మళ్లీ కనెక్ట్ అయిన తర్వాత మరోసారి, ఎందుకంటే టన్నెల్ మళ్లీ చర్చలు జరపక ముందు సరిపోలిన నియమం తర్వాత సరిపోలకపోవచ్చు:
nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/దాన్ని మూసివేసే ముందు:
- గమ్యానికి మార్గం టన్నెల్ ఇంటర్‌ఫేస్ నుండి బయటకు వెళ్తుంది, మూల చిరునామా విధానం ఆశించే దానితో సరిపోలుతుంది.
- పోర్ట్‌పై ఏదో వింటోంది, తిరస్కరణ లేదా సమయ పరిమితి ఊహ కాదు, పేరు పెట్టిన నియమానికి ఆపాదించబడుతుంది.
- గేట్‌వే రెండు దిశలలో ఫార్వార్డ్ చేస్తుంది, గమ్యం మీ నియమాలు రాసిన మూలాన్ని చూస్తుంది.
- పరీక్ష పాస్ కావడానికి ఏ నియంత్రణా ఆఫ్ చేయబడలేదు, మరియు మీరు చేసిన మార్పు ఒక మూల పరిధిని మరియు ఒక పోర్ట్‌ను పేర్కొంటుంది.