OpenVPN AF_INET upozorenje: bezopasan povratak ili neuspješan socket?

Dva reda OpenVPN dnevnika počinju istim riječima, a samo jedan od njih prijavljuje problem. Could not determine IPv4/IPv6 protocol. Using AF_INET je obavještenje o povratku: profil je ostavio porodicu adresa otvorenom, pa je demon odabrao jednu i nastavio. Grana neuspjeha prijavljuje da socket nije stvoren i traži ponovno pokretanje. Sve nakon zajedničkog prefiksa ih razdvaja, zato čitajte dalje prije nego što bilo šta promijenite.

Šta prijavljuje obavještenje o povratku

OpenVPN prihvata eksplicitnu porodicu kroz proto udp4 ili proto udp6, a prihvata proto udp kada porodicu treba izvesti pri pokretanju. U drugom slučaju demon pregleda lokalne podatke o povezivanju i bira.

Kada to izvođenje uspije, upozorenje kaže na koju je stranu otišlo i proces nastavlja stvarati socket. Server sa proto udp na hostu sa dvostrukim stekom često tako završi na IPv4. Ništa na tom putu nije greška i ništa u njemu ne ukazuje na napad, nedostajući web server ili odbijen račun. Red je koristan samo zato što kasnije provjere treba porediti s porodicom koju navodi.

Tretirajte to kao odgovor na jedno pitanje, a ne kao dijagnozu. Kaže vam koju je porodicu odabrao ovaj proces i ništa o tome zašto se klijent ne može povezati.

Kako izgleda grana neuspjeha

Kasnije u istom kodu za socket postoji grana u kojoj socket uopšte ne postoji. Zapisuje kraću poruku o porodici adresa i traži ponovno pokretanje, jer nema se s čim nastaviti. Početne riječi se poklapaju s povratkom, ishod ne.

Razlikujte ih po onome što slijedi. Ako demon nastavi raditi i prijavi svog slušaoca, red je bio informacija. Ako izađe ili se ponovo pokreće u petlji, razgovor je sada o povezivanju.

Pogodak u grepu takođe nije identifikacija grane. Fraza se pojavljuje u rotiranim sažecima, u prelomljenim redovima i u isječcima dnevnika koje ljudi lijepe iz druge ruke, zato čitajte susjedne redove i redoslijed vremenskih oznaka, a ne pojedinačno poklapanje.

Provjerite slušaoca umjesto upozorenja

Server koji radi odgovara na pitanje porodice direktno, bez izvođenja iz teksta dnevnika.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Uparite porodicu, adresu i port s profilom. Red 0.0.0.0:1194 je samo IPv4, dok red [::]:1194 na hostu sa dvostrukim stekom može prihvatiti obje porodice zavisno od postavke bindv6only. Ako profil kaže udp a socket je IPv4, klijenti čiji resolver vraća samo AAAA zapis neće uspjeti prije nego što se tunel uopšte počne pregovarati.

Zatim testirajte s klijenta koji liči na vaše korisnike: isti put resolvera, ista vrsta mreže. Lokalna veza sa servera dokazuje vrlo malo o saobraćaju koji prolazi kroz NAT uređaj ili pravilo vatrozida napisano za drugu porodicu.

Kada je prisiljavanje porodice ispravno

Fiksiranje proto udp4 odgovara samo-IPv4 implementaciji: DNS ime samo s A zapisom, pravila vatrozida za jednu v4 adresu, klijenti iza operatera koji daju samo v4 adrese. To uklanja dvosmislenost i čini sljedeći skup redova dnevnika predvidivim.

Isti argument radi u suprotnom smjeru za okruženje s prioritetom IPv6, a udp6 ispred baze klijenata samo s A je samonaneseni prekid. Prisiljavanje porodice samo da bi se ušutkalo bezopasno upozorenje klasična je verzija ove greške, jer ste promijenili ko se može povezati u zamjenu za mirniji dnevnik.

Birajte prema krajnjim tačkama i klijentima koji do njih moraju doći. OpenVPN 2.6 priručnik dokumentuje oblike transporta, a poruka je rezultat tog izbora, a ne njegov ulaz.

Držite zapis uskim

Zapišite tačan red s njegovom vremenskom oznakom, efektivnu transportnu postavku iz pokrenutog profila, socket kako ga kernel prijavljuje i sljedeću fazu koja nije uspjela. Te četiri stavke rješavaju gotovo svako pitanje koje poruka otvara, i nijedna od njih ne traži nagađanje o nepovezanim servisima. One takođe prežive primopredaju, što snimak ekrana grepa ne čini.

Prijedlozi paketa koji dolaze uz ovo upozorenje nepovezani su dok greška ne navede nedostajući izvršni fajl.

Ako ifconfig zaista nedostaje, demon to kaže po imenu kada ga skripta pozove, i to zaslužuje zasebnu istragu. Red AF_INET i nedostajući alat različiti su neuspjesi, a instaliranje stvari da bi se vidjelo mijenja li se upozorenje jeste način na koji čist host postaje neuredan.