OpenVPN müştəriniz nobind, yoxsa sabit port istifadə etməlidir?

Bir sətirlə fərqlənən iki profil, eyni hostda ikinci müştəri başlayan anda fərqli davranır. Biri nobind daşıyır və nüvənin verdiyi istənilən yerli portu götürür; digəri 1194-ü rezerv edir və ikinci instans artıq istifadədə olan ünvanla ölür. Həmin sətir mənbə portunu kimin seçdiyini, bu da öz növbəsində profilin maşındakı başqa hər şeylə birgə mövcud ola biləcəyini həll edir. Üç sual bunu həll edir və birincisi digər ikisinə çatmazdan əvvəl profillərin çoxuna cavab verir.

nobind əslində nəyi atlayır

Varsayılan olaraq müştəri zəng etməzdən əvvəl yerli soket bağlayır və profil başqa cür deməzsə, yerli port 1194 olur. nobind bu rezervasiyanı silir, buna görə yığın qoşulma zamanı istifadə olunmayan port ayırır. Bu, varsayılan deyil, imtina etmədir və sətri olmayan müştəri 1194-ü saxlayır, buna görə də sabitlənməmiş ikinci instans toqquşur. Göndərilən müştəri profillərinin çoxu bu səbəbdən direktivi daşıyır və nümunə faylın bir şey etməsi mexanizmin bunu varsayılan etməsi demək deyil.

Dəyişməyən şey uzaq tərəfdir. Server hələ də profilin dediyi yerdə dinləyir və konfiqurasiyadaki təyinat portu hələ də təyinat portudur. Dinamik mənbə portu öz soketinizin qayıdış ünvanını dəyişir və serverinki ilə bağlı heç nəyi dəyişmir.

O, həmçinin heç nəyi gizlətmir. İctimai ünvanınız yolun onu çevirdiyi şeydir, paket hələ də yerli şəbəkədən keçir və o şəbəkəni idarə edən hər kəs hələ də axın görür. nobind nə məxfilik xüsusiyyətidir, nə də firewall yan keçməsidir.

Bunu həll edən üç şərt

Bir sual digər ikisini həll edir, ona görə hər hansı düzəliş etməzdən əvvəl ona cavab verin. Əgər peer xarici bağlantı qurursa, qalan suallar artıq verilmiş qərarı yalnız dəqiqləşdirir. Əgər daxil olan bağlantıları qəbul edirsə, yerli portu nə qədər tənzimləsəniz də o, əlçatan olmur.

Bu peer bağlantını özü başladır? Əgər xarici bağlantı qurursa, dinamik mənbə portu zərərsizdir və adətən üstündür, çünki cavab eyni axınla geri qayıdır. Əgər daxil olan bağlantıları gözləyirsə, dinamik port onu əlçatmaz edir, məgər qarşısında nəsə portu elan etmirsə. Bu tək cavab hər müştəri profilini hər server profilindən ayırır.

Yol mənbə portuna görə filtr edirmi? Bir məlum port üçün yazılmış sərt qayda açıq yerli port tələb edir və profil hansı qaydaya cavab verdiyini qeyd etməlidir. Əksər şəbəkələr yalnız təyinat üzrə filtr edir, ona görə bu şərt birincidən daha nadirdir. Tətbiq olunduğu yerdə o, dinamik port üstünlüyünü ləğv edir.

Bir neçə instans hostu paylaşırmı? Tək sabit port onlardan ikisinə xidmət edə bilməz və yenidən başladılmış instans 1194-ü hələ də bağlanma vəziyyətində tapa bilər. Dinamik portlar bu konflikti başqa heç nəyi dəyişmədən aradan qaldırır. Əgər buna əminliklə cavab verə bilmirsinizsə, bəli olduğunu qəbul edin və nüvənin seçməsinə icazə verin.

Sabitlənmiş portun düzgün cavab olduğu yer

Bəzi şəbəkələr təyinatla yanaşı mənbə portuna görə də filtr edir, ona görə operator yalnız bir məlum portdan trafiki keçirən qayda yazmış ola bilər. Bu halda yerli portu sabitləmək düzgündür və profil cavab verdiyi qaydanı göstərən şərh daşımalıdır. Server portu ilə simmetriya üçün sabitləmə səbəb deyil, çünki iki rəqəmin bir-biri ilə heç bir əlaqəsi yoxdur. Əgər sabitləmə yalnız şablon belə olduğu üçün varsa, onu silin.

Əks halda sabitlənmiş port problem gətirir: bir maşında iki müştəri eyni anda 1194-ü saxlaya bilməz, ikincisi isə profili deyil, portu göstərən xəta ilə uğursuz olur. Tez yenidən başladılan konteyner eyni divara çırpılır. Düzəliş göndərilən profillərin artıq saxladığı direktivdir.

Server və müştəri simmetrik deyil

OpenVPN 2.6 təlimatı nobind ilə lport yerləşdirir, bu da bir sətirdə arqumentdir: bir seçim nüvənin seçdiyini, digəri sizin seçdiyinizi deyir. Dinamik yerli port yalnız zəng edən peer üçün işləyir, çünki cavab verən tərəf portu əvvəlcədən bilə bilməz. Buna görə müştəri profilini serverə köçürmək heç kimin çata bilmədiyi dinləyici yaradır.

Vasitəçi qovşaqları çox olan hostda ünvan portdan ayrı qərardır. Konkret yerli ünvanı bağlamaq və konkret portu bağlamaq iki fərqli ayardır və iki yuxarı kanalı olan server adətən hər ikisini sabitləyir. Hər ikisini sabitləyən müştəri heç bir fayda olmadan eyni sərtliyi götürmüş olur.

Xülasə rollarla bağlıdır, təhlükəsizliklə deyil: zəng edən öz mənbəyi barədə çevik ola bilər, cavab verən isə ola bilməz. Heç bir seçim qarşı tərəfin şəxsiyyətiniz barədə bildiklərini dəyişmir. Buna görə də direktiv müştəri nümunələrində görünür və server nümunələrində demək olar ki, heç vaxt görünmür.

Nüvənin seçdiyi portu yoxlayın

Qoşulduqdan sonra konfiqurasiyanı deyil, soketi oxuyun, çünki konfiqurasiya niyyəti, soket isə nə baş verdiyini bildirir. Qeyd etməyə dəyər faktlar yerli port, uzaq son nöqtə və hələ də nəyinsə dinləyib-dinləmədiyidir. Linux hostda üçü də bir əmr məsafəsindədir.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Müştəri nobind ilə yüksək yerli port və konfiqurasiya edilmiş uzaq portu göstərir, bu da gözlənilən formadır. Server öz konfiqurasiya edilmiş portunda dinləyən soket göstərir və o soket yoxdursa, profil ya dinləyici deyil, ya da bağlana bilməyib. Axın varsa, lakin heç bir paket qayıtmırsa, profili redaktə etməzdən əvvəl seçilmiş mənbə portunu yoldaki hər hansı port filtrinə uyğun müqayisə edin. Bir şeyi dəyişin, yenidən qoşulun və soketi yenidən oxuyun.