El port del VPN no respon? Escoltador, adreça d'enllaç o tallafoc de l'amfitrió

El VPN no respon res al seu port, i les dues causes possibles necessiten reparacions oposades: o cap procés ha obert el sòcol, o el sòcol existeix i alguna cosa entre les màquines atura els paquets. Una sola ordre resol la primera meitat d'aquesta pregunta, i per això va abans de tocar qualsevol regla del tallafoc. L'ordre de sota elimina una explicació per pas en lloc d'afegir una altra conjectura. Conjecturar entre les dues és el que converteix un diagnòstic de deu minuts en una vetllada sencera.

Suposeu que podeu entrar al servidor i que el client és un perfil real i no un escàner. Totes dues suposicions importen, perquè una sonda genèrica no pot respondre una pregunta específica del protocol.

Existeix el sòcol, almenys

Comenceu pel que el servei diu de si mateix: si s'ha aixecat i, més útil, quin va ser el seu primer error d'arrencada. Una fallada d'anàlisi, una clau absent o un error d'enllaç impedeixen que l'escoltador existeixi mai, i el procés pot sortir tan silenciosament que la línia d'estat es llegeix de manera ambigua. Una unitat que es declara activa no és prova per si sola, perquè el procés principal pot ser viu mentre el component que havia d'enllaçar el port ja ha renunciat.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

La llista de sòcols és el fet sobre el qual descansa la resta del diagnòstic. Llegiu la columna d'adreça local i no només el port, perquè és en aquesta columna on apareixen els enllaços a loopback i els enllaços a la interfície equivocada. Un escoltador que existeix a 127.0.0.1 funciona perfectament i continua sent invisible per al vostre portàtil.

A quina adreça i a quina família respon el sòcol

Dos errors semblen idèntics des del client i expliquen la majoria d'informes de "no accessible". Un servidor enllaçat a l'adreça de loopback no accepta mai trànsit d'una altra màquina, i un servidor enllaçat només a una adreça IPv4 no respon mai a un client que marca l'adreça IPv6 del mateix amfitrió. Compareu l'adreça de la taula de sòcols amb l'adreça que el client marca realment, caràcter a caràcter, abans de suposar res sobre la política.

Limitar la llista a un sol port la manté llegible quan l'amfitrió executa diversos serveis. El filtre sport pren el port juntament amb el transport que esteu provant:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

La columna de protocol canvia tota la resposta

La taula de sòcols s'indexa pel protocol i també pel port, i són dues entrades independents. Un servei que respon TCP al 1194 no us diu res sobre si alguna cosa escolta a UDP 1194, i el client només utilitzarà un dels dos. Confirmeu quin transport tria la configuració del servidor i quin envia el perfil del client, i després busqueu exactament aquella fila.

L'UDP té una segona particularitat: una sonda no autenticada no és un error que el servei hagi de respondre. Un escaneig que informa que el port és mut ha mesurat la discreció del servei, no la seva disponibilitat, així que proveu amb el client i el perfil reals.

Un intent, tres llocs on mirar

Des d'un client aprovat feu exactament un intent i anoteu l'hora fins al segon. Després llegiu tres fonts per a aquesta finestra: la regla de xarxa o la consola del proveïdor, els comptadors o el registre del tallafoc de l'amfitrió i el registre propi del servei. Fer-ho una vegada és el que fa comparables les tres versions, i costa menys que repetir un intent l'hora del qual ningú no va enregistrar.

Els dos resultats apunten en direccions oposades. Si cap paquet no ha arribat a l'amfitrió, el camí el descarta i l'escoltador és irrellevant. Si el paquet ha arribat al sòcol i el servei l'ha rebutjat, el camí és correcte i la resposta és al protocol, a la criptografia o a les credencials. Obrir un port per a un servei que ja ha acceptat una connexió fa el diagnòstic següent més difícil, no més fàcil.

Anomeneu l'etapa abans de canviar una regla

Una negociació que comença i una autenticació que falla són una sola fallada, i un túnel que s'estableix mentre el reenviament s'atura és una de completament diferent. Anomenar l'etapa primer manté la reparació estreta: un problema de credencials no es resol amb una regla de tallafoc, i un problema de camí de dades no es resol amb un reinici.

Utilitzeu el diagnòstic més estret que respongui la pregunta. Una observació temporal de paquets en un port, sota control d'un administrador, és un instrument raonable; desactivar tot el tallafoc no ho és, perquè el resultat es torna impossible d'atribuir. La documentació de ss cobreix els filtres emprats més amunt, i és un primer pas més barat que qualsevol captura. Anoteu quina de les dues branques heu provat, i la propera ocasió comença amb una resposta coneguda.