53-cü portda OpenVPN: insanların qarışdırdığı üç söhbət
Son nöqtə adının axtarışı, şifrələnmiş nəqliyyat və tuneldən sonrakı DNS üç ayrı söhbətdir. Portu və ya həlledicini dəyişməzdən əvvəl hansı mərhələnin uğursuz olduğunu müəyyən edin.
VPN-in 53-cü portda bloklandığını deyən hesabatlar müxtəlif səbəblərdən uğursuz olan üç müşahidəni qarışdırır. Son nöqtə adının həlli hər hansı tunel yaranmazdan əvvəl baş verir, şifrələnmiş nəqliyyat ayrı bir söhbətdir və sonradan edilən DNS sorğuları üçüncüsüdür. Hər birinin öz uğursuzluq imzası var və onlardan yalnız biri ümumiyyətlə DNS ilə bağlıdır.
Dəyişiklik etməzdən əvvəl paketləri məqsədə görə sıralayın, çünki düzəliş mərhələni izləyir.
Üç söhbət, bir port nömrəsi
Birinci söhbət son nöqtə üçün ad axtarışıdır: maşınınız konfiqurasiya edilmiş həlledicidən vpn.example.com ünvanının harada olduğunu soruşur və bu cavab adi DNS üzərindən, müştəri tək bir tunel paketi göndərməzdən əvvəl gəlir. İkincisi OpenVPN nəqliyyatının özüdür və profil hansı protokolu və portu göstərirsə, həmin üzərindən axtarışın yaratdığı ünvana qoşulur. Üçüncüsü tunel qalxdıqdan sonra, tətbiqlər ad soruşanda və ötürülən həlledici parametrləri kimin cavab verəcəyini həll edəndə baş verir.
Bu üçü müstəqil şəkildə uğur qazana və ya uğursuz ola bilər. Müştəri son nöqtəsini mükəmməl həll edib yenə də dinləyiciyə çata bilməz və DNS parametrləri heç vaxt gəlmədiyi üçün hər daxili ad axtarışı uğursuz olarkən tunel qura bilər.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Cədvəli təsvir kimi deyil, yoxlama siyahısı kimi oxuyun. Son nöqtə adı həll olunmursa, sonrakı heç nə işləyə bilməz və tunel heç vaxt başlamaz.
Port nömrəsi tətbiqi adlandırmır
53-cü port adət üzrə DNS daşıyır və OpenVPN operatoru orada dinləyici də yerləşdirə bilər; rəqəmin zəif identifikator olmasının səbəbi də elə budur. UDP 53 üzərində OpenVPN sessiyası yenə OpenVPN sessiyasıdır və 53-cü portdakı serverə edilən DNS sorğusu tunelin icazəli olub-olmaması barədə heç nə demir. Profilin proto və remote sətirləri xarici son nöqtəni müəyyən edir; port nömrəsi öz-özlüyündə heç nə müəyyən etmir.
Bu, diaqnostika zamanı hər iki tərəfə işləyir: 53-cü porta ümumi UDP sınağı portun cavab verdiyini sübut edir, VPN xidmətinin cavab verdiyini yox. Həqiqi müştəri və həqiqi profillə sınaq keçirin, çünki yalnız bu, xidmətin gözlədiyi əl sıxışmasını işə salır.
Şəbəkəni günahlandırmazdan əvvəl dinləyicini sübut edin
Serverdə nəyin bağlı olduğunu ss -lunp | grep 53 ilə təsdiqləyin və profilın protokolu və portu ilə müqayisə edin. Müştərinin şəbəkəsindən müştərini daha yüksək ətraflılıqla işə salın ki, jurnal hansı ünvana və nəqliyyata cəhd etdiyini göstərsin. Server dinləyirsə və müştərinin paketləri çatmırsa, yol və ya siyasət onları rədd edir və bu, portları dəyişmək üçün səbəb deyil, şəbəkə sahibi üçün söhbətdir.
Başqa port yalnız xidmət həqiqətən orada dinlədikdə və yerləşdirmə buna icazə verdikdə kömək edir. Dinləyicini idarə olunan şəbəkənin filtrləməsindən yayındırmaq üçün köçürmək siyasət qərarıdır, nasazlıq aradan qaldırma addımı deyil. Xidməti dəyişməzdən əvvəl şəbəkə sahibindən nəyə icazə verildiyini soruşun, çünki siyasəti pozan müvəqqəti həll yenə də sonradan bağlanır. Bu cavabı profilın yanında qeyd edin ki, növbəti adam sorğunu təkrarlamasın.
Tuneldən sonra DNS-i ayrıca yoxlayın
Tunel qalxdıqdan sonra VPN interfeysindəki həlledici vəziyyətini yoxlayın və bir daxili, bir ictimai ad sorğulayın. Tunel trafik daşıyarkən daxili adlar uğursuz olursa, ötürülən DNS parametrləri tətbiq olunmayıb; bu, nəqliyyat deyil, müştəri inteqrasiyası məsələsidir. İctimai adlar uğursuz olub daxili adlar işləyirsə, bölünmüş tunel siyasəti konfiqurasiya edildiyi işi görür.
DNS dəyişikliklərini həlledici sahibinin yanında saxlayın. Bir testin keçməsi üçün idarə olunan həlledici konfiqurasiyasının üzərinə yazmaq maşındakı hər şey üçün şəxsi adları poza bilər. Tunel həlledici ötürürsə və müştəri ona məhəl qoymursa, başqa yerdə statik qeyd əlavə etmək əvəzinə müştəri inteqrasiyasını düzəldin. Statik qeydlər kimsə şəbəkəni dəyişənə qədər nasazlığı gizlədir. Hansı həlledicinin hər ad sahəsinə cavab verməsi gözlənildiyini yazın.