VPN ulangan, ammo xavfsizlik devori hali ham to'sadi: qaysi birini qanday aniqlash kerak

Mijoz ulangan deb aytadi, resurs hali ham rad etadi, va odatdagi keyingi qadam nimanidir o'chirishdir. Bu gapdagi ikki nazorat turli ishlarni qiladi: VPN qamrab olingan trafik uchun yo'l quradi, xavfsizlik devori esa har bir ulanish bo'yicha trafik o'ta oladimi-yo'qmi deb hal qiladi. Rad etuvchi siyosat bilan ishlaydigan tunnel foydalanuvchi kursisidan aynan buzilgan tunneldek ko'rinadi, shuning uchun vazifa qaysi qatlam javob berayotganini topishdir. Men amal qiladigan tartib shu, to'xtashni aytadigan o'qish bilan birga.

Yo'lni siyosatdan ajrating

Nosozlik shaklidan boshlang, chunki bu bepul ma'lumot. Paket tushib qolsa vaqt tugashi yuzaga keladi: mijoz qayta urinadi, hech narsa qaytmaydi va buyruq taslim bo'lguncha osilib turadi. Rad etish rad yoki qayta sozlashni keltiradi: biror narsa javob berdi va yo'q dedi. Eshitmaydigan xizmat xostning o'zida rad etadi, hech qanday xavfsizlik devorisiz.

Bu uch natija turli qatlamlarga ishora qiladi. Vaqt tugashi biror joyda siyosat jimgina tashlab yuborayotganini yoki yo'l hech qachon mashinadan chiqmasligini bildiradi. Rad etilgani xostga yetib borganingizni va uning steki yoki mahalliy xavfsizlik devori rad etganini bildiradi. To'liq sukunat, tunnel interfeysi ko'tarilgan va manzilga yo'l bo'lmaganda, yo'l noto'g'ri ekanini va hech bir xavfsizlik devori qoidasi buni tuzatmasligini bildiradi.

Yo'lni bir o'tishda o'qing

Bitta qoidaga qarashdan oldin tunnel manzilni qamrab olishini tasdiqlang. Faqat ofis quyi tarmog'ini tashuvchi bo'lingan tunnel so'rovni boshqa diapazonga yo'naltirmaydi, va o'shanda nosozlik xavfsizlik devori to'sig'idek ko'rinadi, aslida unday emas:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Yo'l chiqishi paket qaysi interfeysdan chiqishini va qaysi manba manzilini olib yurishini ko'rsatadi. Agar bu interfeys tunnel emas, sizning jismoniy tarmoq kartangiz bo'lsa, muammo marshrutlashda yoki tunnelning ruxsat etilgan diapazonlarida, va u xavfsizlik devoriga emas, VPN konfiguratsiyasiga tegishli.

VPNga xos bir tuzoq alohida tekshiruvga loyiq. WireGuardda tengdoshning AllowedIPs ham yo'l, ham kriptografik filtrdir: manba manzili tengdoshning ruxsat etilgan to'plamiga mos kelmaydigan paket har qanday xavfsizlik devori qoidasi ko'rilishidan oldin tashlanadi. Shuning uchun to'liq to'g'ri xost xavfsizlik devori siyosatga o'xshab ko'rinadigan jimgina tashlash ortida turishi mumkin, va tuzatish qoida emas, kalit konfiguratsiyasi satridir.

Siyosatni javob beruvchi qatlamda o'qing

Yo'l to'g'ri bo'lgach, siyosatni xostdan tashqariga qarab yuring va hisoblagichlari harakatlanadigan yagona qatlamni kuzating:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Eshituvchi soket qoidalardan boshqa savolga javob beradi. Portda hech narsa eshitmasa, yadro ulanishni rad etadi va hech bir kiruvchi qoida ahamiyatli emas. Soket mavjud bo'lib, uzoq mijozdan ulanish vaqti tugasa, yo'lda biror joyda tashlash sodir bo'lmoqda, va qoidalar hisoblagichlari bu shu yerda bo'lyaptimi-yo'qmi deb aytadi.

Tashqaridan taxmin qilish o'rniga shubha qilgan profilingiz yoki zanjiringiz uchun jurnallashni yoqing. Manba, manzil va portni ko'rsatadigan bitta qayd etilgan tashlash qatlam va qoidani aniqlaydi, hamda paket yetib kelganini isbotlaydi, buni mijoz tomonidagi hech bir sinov aniqlay olmaydi.

Tunnel o'sha yerda tugasa, shlyuz qarorini o'qing

Sayt-sayt yoki masofaviy kirish shlyuzida VPN foydalanuvchini autentifikatsiya qiladi, siyosat resursga ruxsat beradi, va bular alohida ruxsatlardir. Tunnelga kiritilgan foydalanuvchi har bir ichki xostga avtomatik kiritilmaydi, va rad etish ko'pincha tunnelning o'zi sog'lom bo'lganda yo'naltirish qoidasidan keladi. Xuddi shu ajratish IPsecda ham ko'rinadi: trafikni tanlaydigan xavfsizlik siyosati uni o'tkazadigan filtrdan farq qiladi, va shuning uchun ikkalasi turli mexanizmlar sifatida RFC 4301.

Qaytish yo'lini ketish yo'li kabi ehtiyotkorlik bilan tekshiring. Holatli filtrlash javobni ko'rishi kerak, shuning uchun tunnel orqali bir yo'nalishda va uning atrofidan ikkinchi yo'nalishda assimetrik marshrutlash tasodifiy ko'rinadigan va faqat ba'zi mijozlardan takrorlanadigan tashlashlarni keltiradi. Trafik shlyuzga yetib to'xtasa, biror narsani kengaytirishdan oldin yo'naltirish qoidasi va qaytish yo'lini birga o'qing.

Shlyuz NAT yoki maskalash qoidasi haqiqiy manbani yashirishi mumkin bo'lgan joy ham. Ichki xostlar mijoz o'rniga shlyuz manzilini ko'rsa, mijozlar hovuziga mos kelishi kerak bo'lgan xost xavfsizlik devori qoidalari hech qachon mos kelmaydi, va tuzatish har bir serverda emas, shlyuzda.

Eng tor qatlamni o'zgartiring, so'ng tekshiring

Keng tuzatishga qarshilik qiling. Xost xavfsizlik devorini o'chirish, hamma narsaga ruxsat beruvchi qoida qo'shish yoki har bir interfeysni ishonchli profilga tiqish har safar o'z ishini qilayotgan nazoratni olib tashlaydi, va o'zgarish hodisadan keyin ham qoladi. Manba diapazoni va tegishli port bilan cheklangan qoidani ko'rib chiqish osonroq, olib tashlash osonroq, va mashinaning qolgan siyosatini daxlsiz qoldiradi.

Muvaffaqiyatsiz bo'lgan o'sha sinov bilan, o'sha mijozdan tekshiring, so'ng qayta ulangandan keyin yana bir marta, chunki tunnel qayta muzokara qilishdan oldin mos kelgan qoida keyin mos kelmasligi mumkin:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Yopishdan oldin:

• Manzilga yo'l tunnel interfeysidan chiqadi, manba manzil siyosat kutgan narsaga mos keladi.
• Portda nimadir eshitilmoqda, va rad etish yoki vaqt tugashi taxmin emas, nomlangan qoidaga bog'lanadi.
• Shlyuz ikki tomonga yo'naltiradi, va manzil qoidalaringiz yozilgan manbani ko'radi.
• Sinov o'tishi uchun hech bir nazorat o'chirilmadi, va qilgan o'zgarishingiz bitta manba diapazoni va bitta portni nomlaydi.