Порт VPN маўчыць? Слухач, адрас прывязкі ці міжсеткавы экран хоста

VPN нічога не адказвае на сваім порце, і дзве магчымыя прычыны патрабуюць процілеглага рамонту: альбо ніякі працэс не адкрыў сокет, альбо сокет існуе і нешта паміж машынамі спыняе пакеты. Адна каманда вырашае першую палову гэтага пытання, таму яна ідзе перад любым правілам міжсеткавага экрана. Парадак ніжэй прыбірае адно тлумачэнне за крок замест таго, каб дадаваць чарговую здагадку. Менавіта здагадкі паміж двума варыянтамі і ператвараюць дыягностыку ў дзесяць хвілін у цэлы вечар.

Мяркуйце, што вы можаце ўвайсці на сервер і што кліент — гэта сапраўдны профіль, а не сканер. Абедзве дапушчэнні важныя, бо агульны зонд не можа адказаць на пытанне, спецыфічнае для пратакола.

Ці існуе сокет наогул

Пачніце з таго, што служба кажа пра сябе: ці яна паднялася і, што карысней, якая была першая памылка запуску. Памылка разбору, адсутны ключ або памылка прывязкі не даюць слухачу ўзнікнуць наогул, і працэс можа выйсці настолькі ціха, што радок стану чытаецца неадназначна. Юніт, які паведамляе, што актыўны, сам па сабе не доказ, бо асноўны працэс можа быць жывы, пакуль кампанент, які павінен прывязаць порт, ужо здаўся.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Спіс сокетаў — гэта факт, на якім трымаецца ўся астатняя дыягностыка. Чытайце слупок лакальнага адраса, а не толькі порт, бо менавіта там бачныя прывязкі да loopback і прывязкі да няправільнага інтэрфейсу. Слухач, які існуе на 127.0.0.1, цалкам працуе і ўсё роўна незаўважны для вашага ноўтбука.

На якім адрасе і якой сямействе адказвае сокет

Дзве памылкі выглядаюць з боку кліента аднолькава і тлумачаць большасць паведамленняў "недасягальна". Сервер, прывязаны да адраса loopback, ніколі не прымае трафік з іншай машыны, а сервер, прывязаны толькі да адраса IPv4, ніколі не адказвае кліенту, які набірае адрас IPv6 таго ж хоста. Параўнайце адрас у табліцы сокетаў з адрасам, які кліент фактычна набірае, сімвал за сімвалам, перш чым рабіць высновы пра палітыку.

Абмежаванне спісу адным портам захоўвае чытэльнасць, калі хост запускае некалькі службаў. Фільтр sport бярэ порт разам з транспартам, які вы тэстуеце:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Слупок пратакола змяняе ўвесь адказ

Табліца сокетаў залежыць ад пратакола гэтак жа, як і ад порта, і гэта два незалежныя запісы. Служба, якая адказвае па TCP на 1194, нічога не кажа пра тое, ці нешта слухае UDP 1194, і кліент заўсёды выкарыстае толькі адзін з іх. Удакладніце, які транспарт выбірае канфігурацыя сервера і які адпраўляе профіль кліента, затым шукайце менавіта гэты радок.

У UDP ёсць другая асаблівасць: неаўтэнтыфікаваны зонд не з'яўляецца памылкай, на якую служба абавязана адказваць. Сканаванне, якое паведамляе, што порт маўчыць, вымерала стрыманасць службы, а не яе даступнасць, таму тэстуйце сапраўдным кліентам і профілем.

Адна спроба, тры месцы для позірку

З дазволенага кліента зрабіце роўна адну спробу і запішыце час да секунды. Затым прачытайце тры крыніцы за гэтае акно: сеткавае правіла або кансоль правайдэра, лічыльнікі або журнал міжсеткавага экрана хоста і ўласны журнал службы. Адноразовае выкананне робіць тры сведчанні параўнальнымі і каштуе менш, чым паўтор спробы, час якой ніхто не запісаў.

Два вынікі паказваюць у процілеглыя бакі. Калі ніводны пакет не дасягнуў хоста, шлях яго скідвае і слухач не мае значэння. Калі пакет дайшоў да сокета і служба яго адхіліла, шлях у парадку, а адказ у пратаколе, крыптаграфіі або ўліковых даных. Адкрыццё порта для службы, якая ўжо прыняла злучэнне, робіць наступную дыягностыку цяжэйшай, а не лягчэйшай.

Назваць этап, перш чым змяніць правіла

Перамовы, якія пачынаюцца, і аўтэнтыфікацыя, якая правальваецца, — гэта адна няўдача, а тунель, які ўзнікае, пакуль перасылка стаіць, — зусім іншая. Назваць этап спачатку — значыць пакінуць рамонт вузкім: праблему ўліковых даных не выпраўляе правіла міжсеткавага экрана, а праблему шляху даных не выпраўляе перазапуск.

Выкарыстоўвайце найвузейшую дыягностыку, якая адказвае на пытанне. Часовае назіранне за пакетамі на адным порце пад кантролем адміністратара — разумны інструмент; поўнае адключэнне міжсеткавага экрана — не, бо вынік становіцца немагчыма аднесці да прычыны. Дакументацыя ss апісвае фільтры, выкарыстаныя вышэй, і гэта больш танны першы крок, чым любы перахоп. Запішыце, якую з дзвюх галін вы даказалі, і наступны выпадак пачнецца з вядомага адказу.