Bina-block ba ng Firewall ang VPN? Hakbang-hakbang na Pagsusuri

Isang timeout ng VPN ang nagpapatunay na walang kapaki-pakinabang na sagot ang dumating, at wala itong pinatutunayan tungkol sa dahilan. Maaaring mali ang port sa profile, maaaring nakababa ang server, o maaaring dumating ang kahilingan na walang gumaganang daan pabalik. Bawat isa sa mga ito ay nag-iiwan ng ibang bakas, at ang bakas ang nagsasabi kung aling tuntunin ang dapat hawakan. Dumaan sa apat na yugto sa ibaba nang sunud-sunod. Huminto sa sandaling may isa sa kanila na magpaliwanag ng sintomas.

Yugto 1: kumpirmahin ang server at ang transport

Basahin ang pangalan ng server, transport at port mula sa kasalukuyang profile ng operator at hindi mula sa lokal na pagbabago. Ang port na binago sa iyong laptop ay hindi makakalikha ng tagapakinig sa isang pampublikong server, at ang pagkakaibang iyon ay gumagawa ng timeout na kapareho ng pagharang. Kung nag-aalok ang profile ng sinusuportahang alternatibong transport, itala ito bilang reserba at hindi bilang lunas. Lutasin ang pangalan at ihambing ang sagot sa address na inilathala ng operator.

Ang lumang talaan ng DNS ay nagpapadala sa kliyente sa host na hindi kailanman sumagot. Isa pang depekto iyon na ginagaya ang isang filter, at isang query lang ang gastos upang ibukod ito.

Isulat ang dalawang halaga sa ticket. Ginagamit ng bawat susunod na paghahambing ang mga ito, at ang ticket na wala ang mga ito ay nagsisimula muli ng pagsisiyasat.

Yugto 2: patunayan ang landas sa isang kontroladong paghahambing

Iwanang hindi nagbabago ang device at profile at subukan ang isa pang pinagkakatiwalaang network ng access. Kung aakyat doon ang tunnel, ang pagkakaiba ay ang orihinal na landas o ang patakaran nito. Kung gumagana ang pangalawang aprubadong device sa orihinal na network, ang pagkakaiba ay ang unang device. Isa sa dalawang paghahambing na iyon ay halos palaging mapagpasya.

Tapusin muna ang anumang lehitimong pag-sign in sa network, dahil ang captive portal ay mukhang pagharang hanggang sa matapos ito.

Subukan ang port na aktwal mong ginagamit, at ituring ang resulta ng TCP bilang impormasyon tungkol sa TCP lamang.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

Ang matagumpay na TCP handshake sa port 443 ay nagsasabi na may tagapakinig na sumagot doon. Wala itong sinasabi tungkol sa tagapakinig ng UDP sa 51820, at wala rin tungkol sa kung natapos ang negosasyon.

Yugto 3: basahin ang mga kaganapan sa seguridad sa sandali ng pagkabigo

Ang mga kaganapan ng firewall ang pinakamalakas na ebidensyang makukuha, at may kasama silang paalala na dapat munang sabihin. Naka-off ang pag-log sa maraming default na profile, kaya tingnan kung nagtatala ang kaugnay na profile ng mga pagtatapon bago basahin ang walang laman na log bilang patunay ng kawalang-kasalanan. Kapag naka-on ang pag-log, binabanggit ng kaganapan ang tuntunin, direksyon at mga address, na siyang eksaktong kailangan ng pagbabago ng tuntunin. Ang mga tuntunin ng application at mga tuntunin ng port ay magkahiwalay na bagay, at ang pinamamahalaang patakaran ay maaaring mangibabaw sa lokal na setting. Kumpirmahin kung aling kliyente at aling serbisyo ang tunay na saklaw ng isang tuntunin.

Kolektahin ang kalagayan ng profile at ang mga kamakailang kaganapan mula sa makina na nabigo, hindi mula sa kalapit na host.

Basahin ang oras ng kaganapan laban sa oras ng iyong pagtatangka sa pagsubok, dahil ang tugmang pangalan ng tuntunin na may ibang timestamp ay nagkataon lamang.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Sa server na pinamamahalaan mo, itanong kung narating man ng kahilingan ang tagapakinig. Ang packet na dumarating na walang sagot ay problema sa pagpapasa o daan pabalik. Ang kahilingang hindi kailanman lumilitaw ay problema sa pagsasala o pag-address.

Yugto 4: subukan ang pagpapasa pagkatapos umangat ang tunnel

Maaaring payagan ng firewall ang sesyon at tanggihan pa rin ang lahat ng nais nitong maabot. Ang sysctl ng pagpapasa, mga tuntunin ng NAT at mga daan pabalik ay lahat nasa likod ng pagpapatotoo, at ang malawak na pagbubukod para sa port ng VPN ay hindi nag-aayos ng alinman sa mga ito. Subukan ang isang panloob na destinasyon at isang destinasyon sa internet nang hiwalay, dahil karaniwang nabibigo sila sa magkaibang dahilan. Kung nabibigo ang mga panloob na pangalan ngunit gumagana ang mga address, tingnan ang itinulak na DNS bago ang anumang tuntunin.

Patakbuhin ang tatlong pagsusuri sa ibaba sa server habang nakakonekta ang kliyente at sinusubukan ang nabibigong kahilingan.

Ang mga counter sa interface ng tunnel ang punto, dahil ipinapakita nila kung pumasok ang mga packet at kung may lumabas.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Kapag dumarating ang mga packet sa tunnel at walang lumalabas patungo sa destinasyon, ang pinaghihinalaan ay pagpapasa o NAT. Kapag walang dumarating, nakataas ang sesyon ngunit hindi nagpapadala ang kliyente, at ang lugar na titingnan ay ang routing table ng kliyente.

Tiyakin ang pagwawasto at alisin ang hindi nakatulong

Pagkatapos ng aprubadong pagwawasto, ulitin ang eksaktong pagsubok na nabigo at itala ang resulta laban sa parehong profile at device. Pagkatapos ay alisin ang anumang pansamantalang pagbubukod na hindi nagbago ng resulta, dahil nagsasama-sama ang mga hindi nagamit na pagbubukod at bawat isa ay desisyong walang nakakaalala. Panatilihing makitid ang natitira: isang destinasyon, isang port, isang direksyon, isang may-ari.

Patakbuhin muli ang parehong tatlong utos at ihambing ang mga ito sa output na iniligtas mo bago ang pagbabago.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Kapag gumagana ang network ng paghahambing, nabibigo pa rin ang orihinal na network at nananatiling walang laman ang mga kaganapan, ang natitirang pinaghihinalaan ay ang landas at hindi ang host. Ipaabot ito sa may-ari ng network bilang tiyak na pahayag, kalakip ang parehong resulta ng paghahambing. Iyon ay mas mabuting lugar para huminto kaysa sa isang naka-disable na profile ng firewall.