VPN portu susur? Dinləyici, bağlanma ünvanı və ya firewall

VPN öz portunda heç nə cavablandırmır və iki mümkün səbəb əks təmir tələb edir: ya heç bir proses soketi açmayıb, ya da soket mövcuddur və maşınlar arasında nəsə paketləri saxlayır. Bir əmr bu sualın birinci yarısını həll edir, buna görə də hər hansı firewall qaydasına toxunmadan əvvəl gəlir. Aşağıdakı ardıcıllıq hər addımda yeni bir təxmin əlavə etmək əvəzinə bir izahı çıxarır. İkisi arasında təxmin etmək on dəqiqəlik diaqnozu bütöv bir axşama çevirən şeydir.

Fərz edin ki, serverə daxil ola bilirsiniz və klient skaner deyil, real profildir. Hər iki fərz vacibdir, çünki ümumi zond protokolspesifik suala cavab verə bilməz.

Soket ümumiyyətlə mövcuddurmu

Xidmətin özü haqqında dediklərindən başlayın: qalxıbmı və daha faydalısı, ilk başlama xətası nə olub. Təhlil xətası, çatışmayan açar və ya bağlama xətası dinləyicinin heç vaxt yaranmasına imkan vermir və proses o qədər sakitcə çıxa bilər ki, status sətri qeyri-müəyyən oxunur. Aktiv olduğunu bildirən vahid tək başına sübut deyil, çünki əsas proses sağ ola bilər, portu bağlamalı olan komponent isə artıq əl çəkib.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Soket siyahısı diaqnozun qalan hissəsinin dayandığı faktdır. Yalnız portu deyil, yerli ünvan sütununu oxuyun, çünki loopback bağlamaları və səhv interfeys bağlamaları məhz orada görünür. 127.0.0.1 üzərində mövcud olan dinləyici mükəmməl işləyir və yenə də noutbukunuz üçün görünməz qalır.

Soket hansı ünvanda və hansı ailədə cavab verir

İki səhv klient tərəfindən eyni görünür və "çatılmır" hesabatlarının çoxunu izah edir. Loopback ünvanına bağlanmış server başqa maşından heç vaxt trafik qəbul etmir, yalnız IPv4 ünvanına bağlanmış server isə həmin hostun IPv6 ünvanına zəng edən klientə heç vaxt cavab vermir. Siyasət haqqında bir şey fərz etməzdən əvvəl soket cədvəlindəki ünvanı klientin həqiqətən zəng etdiyi ünvanla hərf-hərf müqayisə edin.

Siyahını bir porta məhdudlaşdırmaq host bir neçə xidmət işlədəndə oxunaqlığı saxlayır. sport filtri portu sınaqdan keçirdiyiniz nəqliyyatla birlikdə götürür:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Protokol sütunu bütün cavabı dəyişir

Soket cədvəli portla yanaşı protokola da əsaslanır və ikisi müstəqil girişlərdir. 1194 portunda TCP-yə cavab verən xidmət UDP 1194-də nəsə dinləyib-dinləmədiyi barədə heç nə demir və klient onlardan yalnız birini istifadə edəcək. Server konfiqurasiyasının hansı nəqliyyatı seçdiyini və klient profilinin hansını göndərdiyini təsdiqləyin, sonra məhz o sətri axtarın.

UDP-nin ikinci qırışı var: autentifikasiya olunmamış zond xidmətin cavab verməli olduğu xəta deyil. Portun susduğunu bildirən skan xidmətin mövcudluğunu deyil, ehtiyatlılığını ölçüb, ona görə də real klient və profillə sınayın.

Bir cəhd, baxmaq üçün üç yer

Təsdiqlənmiş klientdən tam olaraq bir cəhd edin və vaxtı saniyəyə qədər yazın. Sonra həmin pəncərə üçün üç mənbə oxuyun: provayderin şəbəkə qaydası və ya konsolu, hostun firewall sayğacları və ya jurnalı, xidmətin öz jurnalı. Bunu bir dəfə etmək üç rəvayəti müqayisə edilə bilən edir və vaxt damğası heç kim tərəfindən qeyd olunmayan cəhdi təkrarlamaqdan ucuz başa gəlir.

İki nəticə əks istiqamətə işarə edir. Heç bir paket hosta çatmayıbsa, yol onu atır və dinləyicinin əhəmiyyəti yoxdur. Paket soketə çatıb xidmət onu rədd edibsə, yol qaydasındadır və cavab protokolda, kriptoqrafiyada və ya etimad məlumatlarındadır. Artıq bağlantı qəbul etmiş xidmət üçün port açmaq növbəti diaqnozu asanlaşdırmır, çətinləşdirir.

Qaydanı dəyişməzdən əvvəl mərhələni adlandırın

Başlayan danışıq və uğursuz autentifikasiya bir nasazlıqdır, qurulan tunel isə ötürmə ilişəndə tamam başqa nasazlıqdır. Mərhələni əvvəlcə adlandırmaq təmiri dar saxlayır: etimad problemi firewall qaydası ilə həll olunmur, məlumat yolu problemi isə yenidən başlatma ilə həll olunmur.

Suala cavab verən ən dar diaqnostikadan istifadə edin. Bir portda administratorun nəzarəti altında müvəqqəti paket müşahidəsi ağlabatan alətdir; bütün firewall-u söndürmək isə deyil, çünki nəticəni kiməsə aid etmək qeyri-mümkün olur. ss sənədləri yuxarıda istifadə olunan filtrləri əhatə edir və hər hansı tutmadan daha ucuz ilk addımdır. İki budaqdan hansını sübut etdiyinizi qeyd edin və növbəti hal məlum cavabdan başlayır.