VPN adresini beyaz listeye eklediniz ama hâlâ mı engelli? İzini sürün

Bir VPN uygulamasının gösterdiği adresi beyaz listeye eklemek engelli bir bağlantı noktasını nadiren düzeltir ve paket bunun nedenini açıklar. Güvenlik duvarı kuralınızı yok saymıyor; istemci ekranında hiçbir şeyin göstermediği bir kaynak adresi değerlendiriyor. Hedef bu değeri bildirene kadar her kural düzenlemesi bir tahmindir.

Hizmete ulaşan istekle başlayın. Tünel adresi, çıkış adresi ve ikisi arasındaki herhangi bir çeviri, hedef bunlardan birini doğrulayana kadar varsayım olarak kalır.

Uygulamadaki adres gelen adres değil

Bir VPN bağlantısı en az dört adres taşır ve bunları ayrı ayrı adlandırmaya değer: sunucunun uç noktası, istemcinize atanan iç tünel adresi, yerel Wi-Fi veya Ethernet adresi ve trafik sağlayıcıdan çıktıktan sonra bir web sitesinin gördüğü genel adres. İstemci penceresi yalnızca ikincisini gösterebilir. Bir kural adlandırmadan önce dördünü de adlandırın. Bölünmüş tünelde genel bir hedefe giden istekler tüneli tamamen atlayabilir, bu nedenle başarısız oturum kullanıcının başlattığını sandığı oturum değildir.

Kuralın bu dördünden hangisine izin vermesi gerektiğine karar verin, sonra diğer taraftan doğrulayın. Gereksinim gerçekten bir ofis adresiyse koşul, yol artı o sitenin çıkış düzenidir ve Office VPN etiketli bir bağlantı ikisini de tek başına sağlamaz.

Bir isteği filtreleme sınırına kadar izleyin

İstemcinin kullandığı hedef adresi ve bağlantı noktasını doğrulayın, ardından bu hedefin varsaydığınız yolu izlediğini kontrol edin. Yayımlanmış bir konteyner bağlantı noktası, ters proxy veya bağlantı noktası yönlendirmesi kararı hiç düzenlemediğiniz bir ana makineye taşıyabilir. Bu sıçramaların her biri kendi ilkesini taşıyabilir. Yolu önce belirlemek, hiçbir paketin ulaşmadığı bir kuralı düzeltmekten sizi kurtarır.

Yetkili bir Linux ana makinesinde, değiştirmeden önce etkin kuralları sırayla okuyun. Yönlendirilen ve konteyner hizmetleri çoğu zaman kendi zincirlerine atlar, bu nedenle hem sıçrama hedefini hem de nihai hükmü inceleyin.

iptables -vnL INPUT --line-numbers
iptables -S INPUT | head -n 40
ss -ltnp | grep -E ':(443|9443)\b'

Kayıtta eşleşen kural numarasını belirtin. O olmadan bir sonraki okuyucu hangi düzenlemenin sonucu değiştirdiğini bilemez. Zaman damgası olmayan kural numarası hâlâ belirsizdir.

Yolu tek bir sınırlı yakalamayla doğrulayın

Zararsız bir istek ve dar bir yakalama, sürekli geri gelen soruyu çözer. Hedef bağlantı noktasına ve incelenen ana makineye göre filtreleyin, paket sayısını sınırlayın ve istek tamamlanır tamamlanmaz yakalamayı durdurun.

tcpdump -ni any 'tcp dst port 9443' -c 20

Üç değeri yan yana karşılaştırın: yakalamadaki kaynak, eşleşen kuralın adlandırdığı kaynak ve uygulamanın kaydettiği ret. Hepsi farklı olabilir ve yalnızca ilki bir IP kuralının verdiği düşüşü açıklar. Yönlendirilen HTTP başlığı proxy katmanına aittir, bu nedenle o başlığı alıntılayan bir günlük güvenlik duvarının değerlendirdiği kaynağı tanımlamaz.

Yalnızca kuralı değil, zincir sırasını okuyun

iptables başvurusu sıralı geçişi belgeler, bu yüzden eşleşen terminal reddin altında duran bir izin paketi asla kurtarmaz. Daha önce kabul edilen bir bağlantı yeni olandan farklı davranabilir, bu nedenle eski bir başarı yeni kural hakkında hiçbir şey söylemez. İznin yanlış olduğunu varsaymadan önce izninizin üzerindeki reddi veya düşüşü bulun. Kural başına sayaçlar hangi kuralın paketi gördüğünü de söyler.

Ne olacağını görmek için bir kuralı silmek bir değişikliktir, gözlem değil. Sayaçları okuyun, kural numarasını not edin ve özgün ilkeyi değişiklik kaydında tutun. Bir test kaçınılmazsa, zincirin bir kopyasında çalıştırın.

Sahibinin denetlediği kuralı değiştirin

Yalnızca amaçlanan kaynak ve hizmet ilkesini, onu elinde bulunduran aracılığıyla güncelleyin. Paylaşılan çevrilmiş bir çıkış aynı anda birçok kullanıcıyı temsil edebilir, bu nedenle o adrese izin vermek kimseyi doğrulamaz ve arkasındaki uygulama izinleri oldukları yerde kalır.

Adres hareket etmeye devam ettiğinde kalıcı yanıt daha uzun bir istisna listesi değil, kararlı bir çıkış veya doğrulanmış bir kanaldır. Gözlenen kaynağı, hedef bağlantı noktasını ve kural numarasını kaydedin.