VPN port šuti? Slušalac, adresa vezivanja ili firewall na hostu

VPN ne odgovara ništa na svom portu, a dva moguća uzroka traže suprotne popravke: ili nijedan proces nije otvorio socket, ili socket postoji i nešto između mašina zaustavlja pakete. Jedna komanda rješava prvu polovinu tog pitanja, zato ona ide prije nego što se dotakne bilo koje firewall pravilo. Redoslijed ispod uklanja jedno objašnjenje po koraku umjesto da dodaje još jednu pretpostavku. Nagađanje između dvije mogućnosti je ono što desetminutnu dijagnozu pretvara u cijelu večer.

Pretpostavite da se možete prijaviti na server i da je klijent pravi profil, a ne skener. Obje pretpostavke su važne, jer opći test ne može odgovoriti na pitanje specifično za protokol.

Postoji li socket uopće

Počnite od onoga što usluga kaže o sebi: je li se podigla i, korisnije, koja je bila njena prva greška pri pokretanju. Greška pri parsiranju, ključ koji nedostaje ili greška pri vezivanju sprječavaju da slušalac uopće postoji, a proces može izaći tako tiho da se statusni red čita dvosmisleno. Jedinica koja se prijavljuje kao aktivna nije sama po sebi dokaz, jer glavni proces može biti živ dok je komponenta koja je trebala vezati port već odustala.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Popis socket-a je činjenica na kojoj počiva ostatak dijagnoze. Čitajte kolonu lokalne adrese, a ne samo port, jer se u toj koloni vide vezivanja na loopback i vezivanja na pogrešno sučelje. Slušalac koji postoji na 127.0.0.1 radi besprijekorno i dalje je nevidljiv za vaš laptop.

Na kojoj adresi i kojem tipu adresa socket odgovara

Dvije greške sa strane klijenta izgledaju identično i objašnjavaju većinu izvještaja "nije dostupno". Server vezan na loopback adresu nikada ne prima saobraćaj s druge mašine, a server vezan samo na IPv4 adresu nikada ne odgovara klijentu koji bira IPv6 adresu istog hosta. Uporedite adresu u tablici socket-a s adresom koju klijent stvarno bira, znak po znak, prije nego što pretpostavite bilo šta o politici.

Ograničavanje popisa na jedan port održava ga čitljivim kad host vrti nekoliko usluga. sport filter uzima port zajedno s transportom koji testirate:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Kolona protokola mijenja cijeli odgovor

Tablica socket-a indeksira i protokol i port, a to su dva nezavisna unosa. Usluga koja odgovara na TCP na 1194 ne govori ništa o tome sluša li išta na UDP 1194, a klijent će uvijek koristiti samo jedan od njih. Potvrdite koji transport bira serverska konfiguracija i koji šalje klientski profil, pa potražite taj tačni red.

UDP ima drugi detalj: neautentificirani test nije greška na koju usluga mora odgovoriti. Skeniranje koje port prijavi kao nijem izmjerilo je suzdržanost usluge, a ne njenu dostupnost, zato testirajte pravim klijentom i profilom.

Jedan pokušaj, tri mjesta za pogledati

S odobrenog klijenta napravite tačno jedan pokušaj i zapišite vrijeme do sekunde. Zatim pročitajte tri izvora za taj prozor: mrežno pravilo ili konzolu provajdera, brojače ili dnevnik firewalla na hostu i vlastiti dnevnik usluge. Jednokratno izvođenje čini tri iskaza uporedivim i košta manje od ponavljanja pokušaja čije vrijeme niko nije zapisao.

Dva ishoda pokazuju u suprotnim smjerovima. Ako nijedan paket nije stigao do hosta, put ga odbacuje i slušalac nije relevantan. Ako je paket stigao do socketa i usluga ga je odbila, put je u redu i odgovor je u protokolu, kriptografiji ili akreditivima. Otvaranje porta za uslugu koja je već prihvatila vezu čini sljedeću dijagnozu težom, ne lakšom.

Imenujte fazu prije nego promijenite pravilo

Pregovaranje koje počne i autentifikacija koja padne jedan je kvar, a tunel koji se uspostavi dok prosljeđivanje stane potpuno je drugi. Ako prvo imenujete fazu, popravak ostaje uzak: problem s akreditivima ne rješava firewall pravilo, a problem s putanjom podataka ne rješava restart.

Koristite najužu dijagnostiku koja odgovara na pitanje. Privremeno posmatranje paketa na jednom portu, pod kontrolom administratora, razuman je alat; isključivanje cijelog firewalla nije, jer rezultat postaje nemoguće pripisati. Dokumentacija za ss pokriva gore korištene filtere i jeftiniji je prvi korak od svakog snimanja. Zapišite koja od dvije grane je dokazana i sljedeći slučaj počinje od poznatog odgovora.