Güvenlik duvarı VPN'i mi engelliyor? Adım adım kontrol

Tek bir VPN zaman aşımı, kullanılabilir bir yanıtın gelmediğini kanıtlar ve nedeni hakkında hiçbir şey kanıtlamaz. Profil yanlış bağlantı noktasını gösterebilir, sunucu kapalı olabilir veya istek çalışan bir dönüş yolu olmadan gelebilir. Bunların her biri farklı bir iz bırakır ve hangi kurala dokunulacağını o iz söyler. Aşağıdaki dört aşamayı sırayla yürütün. İçlerinden biri belirtiyi açıkladığı anda durun.

Aşama 1: sunucuyu ve taşımayı doğrulayın

Sunucu adını, taşımayı ve bağlantı noktasını yerel bir değişiklikten değil, işletmecinin güncel profilinden okuyun. Dizüstü bilgisayarınızda değiştirilen bir bağlantı noktası genel bir sunucuda dinleyici oluşturamaz ve bu uyumsuzluk engellemeyle aynı zaman aşımını üretir. Profil desteklenen bir alternatif taşıma sunuyorsa bunu düzeltme değil yedek olarak not edin. Adı çözümleyin ve yanıtı işletmecinin yayımladığı adresle karşılaştırın.

Eski bir DNS kaydı istemciyi hiç yanıt vermemiş bir konağa gönderir. Bu da filtreyi taklit eden başka bir arıza ve dışlamak tek bir sorguya mal olur.

Her iki değeri de kayda yazın. Sonraki her karşılaştırma bunları kullanır ve bunlar olmadan kayıt incelemeyi baştan başlatır.

Aşama 2: yolu tek bir kontrollü karşılaştırmayla kanıtlayın

Cihazı ve profili değiştirmeden bırakın ve başka bir güvenilir erişim ağı deneyin. Tünel orada açılırsa fark, özgün yol veya onun ilkesidir. Özgün ağda ikinci onaylı cihaz çalışıyorsa fark, ilk cihazdır. Bu iki karşılaştırmadan biri neredeyse her zaman belirleyicidir.

Önce herhangi bir meşru ağ oturum açma işlemini tamamlayın, çünkü yakalama portalı tamamlanana kadar engelleme gibi görünür.

Gerçekten kullandığınız bağlantı noktasını test edin ve TCP sonucunu yalnızca TCP hakkında bilgi olarak değerlendirin.

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

443 bağlantı noktasında başarılı bir TCP el sıkışması, orada bir dinleyicinin yanıt verdiğini gösterir. 51820'deki UDP dinleyicisi hakkında ve görüşmelerin tamamlanıp tamamlanmadığı hakkında hiçbir şey söylemez.

Aşama 3: arıza anına ilişkin güvenlik olaylarını okuyun

Güvenlik duvarı olayları mevcut en güçlü kanıttır ve önce söylenmesi gereken bir çekince taşır. Birçok varsayılan profilde günlükleme kapalıdır, bu yüzden boş bir günlüğü masumiyet kanıtı olarak okumadan önce ilgili profilin düşürmeleri kaydedip kaydetmediğini kontrol edin. Günlükleme açıkken olay kuralı, yönü ve adresleri belirtir; bu tam olarak bir kural değişikliğinin ihtiyaç duyduğu şeydir. Uygulama kuralları ve bağlantı noktası kuralları ayrı nesnelerdir ve yönetilen ilke yerel bir ayarı geçersiz kılabilir. Bir kuralın gerçekte hangi istemciyi ve hangi hizmeti kapsadığını doğrulayın.

Profil durumunu ve son olayları, başarısız olan makineden toplayın, komşu bir konaktan değil.

Olay zamanını kendi test denemenizin zamanıyla karşılaştırın, çünkü farklı zaman damgasıyla eşleşen kural adı bir rastlantıdır.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

Yönettiğiniz bir sunucuda, isteğin dinleyiciye ulaşıp ulaşmadığını sorun. Yanıtsız gelen paket bir yönlendirme veya dönüş yolu sorunudur. Hiç görünmeyen istek ise filtreleme veya adresleme sorunudur.

Aşama 4: tünel açıldıktan sonra yönlendirmeyi test edin

Güvenlik duvarı oturuma izin verip oturumun ulaşmak istediği her şeyi yine de reddedebilir. Yönlendirme sysctl'leri, NAT kuralları ve dönüş yolları hepsi kimlik doğrulamadan sonra durur ve VPN bağlantı noktası için geniş bir muafiyet bunların hiçbirini onarmaz. Bir iç hedefi ve bir internet hedefini ayrı ayrı test edin, çünkü genellikle farklı nedenlerle başarısız olurlar. İç adlar başarısız olup adresler çalışıyorsa, herhangi bir kuraldan önce itilen DNS'e bakın.

İstemci bağlıyken ve başarısız isteği denerken aşağıdaki üç kontrolü sunucuda çalıştırın.

Tünel arayüzündeki sayaçlar asıl noktadır, çünkü paketlerin girip girmediğini ve bir şeyin çıkıp çıkmadığını gösterirler.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

Tünele paketler gelip hedefe doğru hiçbir şey çıkmıyorsa şüpheli yönlendirme veya NAT'tır. Hiçbir şey gelmiyorsa oturum açıktır ama istemci göndermiyor ve bakılacak yer istemcinin yönlendirme tablosudur.

Düzeltmeyi doğrulayın ve yardımcı olmayanı kaldırın

Onaylanmış bir düzeltmeden sonra başarısız olan testi tam olarak yineleyin ve sonucu aynı profil ve cihaz için kaydedin. Ardından sonucu değiştirmeyen her geçici muafiyeti kaldırın, çünkü kullanılmayan muafiyetler birikir ve her biri kimsenin hatırlamadığı bir karardır. Kalanı dar tutun: bir hedef, bir bağlantı noktası, bir yön, bir sorumlu.

Aynı üç komutu yeniden çalıştırın ve değişiklikten önce kaydettiğiniz çıktılarla karşılaştırın.

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

Karşılaştırma ağı çalışıyor, özgün ağ hâlâ başarısız oluyor ve olaylar boş kalıyorsa, kalan şüpheli konak değil yoldur. İki karşılaştırma sonucunu da ekleyerek bunu ağ sahibine somut bir ifade olarak iletin. Devre dışı bırakılmış bir güvenlik duvarı profilinden daha iyi bir durma noktasıdır.