A ddylai eich cleient OpenVPN ddefnyddio nobind neu borthladd sefydlog?

Mae dau broffil sy'n wahanol gan un llinell yn ymddwyn yn wahanol yr eiliad y bydd ail gleient yn cychwyn ar yr un gwesteiwr. Mae un yn cario nobind ac yn cymryd unrhyw borthladd lleol a roddir gan y cnewyllyn; mae'r llall yn cadw 1194, ac mae'r ail achos yn marw gyda chyfeiriad sydd eisoes yn cael ei ddefnyddio. Mae'r llinell honno'n penderfynu pwy sy'n dewis y porthladd ffynhonnell, sydd yn ei dro yn penderfynu a all y proffil gydfodoli ag unrhyw beth arall ar y peiriant. Mae tair cwestiwn yn setlo hyn, ac mae'r gyntaf yn ateb y rhan fwyaf o broffiliau cyn i chi gyrraedd y ddwy arall.

Beth mae nobind yn ei hepgor mewn gwirionedd

Yn ddiofyn mae'r cleient yn rhwymo soced lleol cyn deialu, ac mae'r porthladd lleol yn 1194 oni bai bod y proffil yn dweud yn wahanol. nobind yn tynnu'r cadwraeth honno, felly mae'r stac yn dyrannu porthladd nad yw'n cael ei ddefnyddio ar amser cysylltu. Mae'n eithriad, nid yn ddiofyn, ac mae cleient heb y llinell yn dal 1194, sef yn union pam mae ail achos heb ei binio yn gwrthdaro. Mae'r rhan fwyaf o broffiliau cleient a gludir yn cario'r cyfarwyddeb am y rheswm hwnnw, ac nid yw ffeil enghreifftiol yn gwneud rhywbeth yr un peth ag y mae'r mecanwaith yn ei wneud yn ddiofyn.

Yr hyn nad yw'n newid yw'r ochr bell. Mae'r gweinydd yn parhau i wrando lle mae'r proffil yn dweud ei fod yn gwrando, ac mae'r porthladd cyrchfan yn y gosodiad yn parhau i fod y porthladd cyrchfan. Mae porthladd ffynhonnell dynamig yn newid cyfeiriad dychwelyd eich soced eich hun a dim byd am un y gweinydd.

Nid yw'n cuddio dim chwaith. Eich cyfeiriad cyhoeddus yw'r hyn y mae'r llwybr yn ei gyfieithu iddo, mae'r pecyn yn dal i groesi'r rhwydwaith lleol, ac mae pwy bynnag sy'n rhedeg y rhwydwaith hwnnw yn dal i weld ffrwd. nobind yn nodwedd preifatrwydd nac yn ffordd o osgoi wal dân.

Tair amod sy'n penderfynu

Mae un cwestiwn yn penderfynu'r ddwy arall, felly atebwch ef cyn golygu unrhyw beth. Os yw'r cymar yn deialu allan, mae'r cwestiynau sy'n weddill ond yn mireinio penderfyniad sydd eisoes wedi'i wneud. Os yw'n derbyn cysylltiadau i mewn, nid oes unrhyw faint o addasu porthladd lleol yn ei wneud yn gyrraeddadwy.

A yw'r cymar hwn yn cychwyn y cysylltiad? Os yw'n deialu allan, mae porthladd ffynhonnell dynamig yn ddiniwed ac fel arfer yn well, oherwydd mae'r ateb yn dilyn yr un ffrwd yn ôl. Os yw'n aros am gysylltiadau i mewn, mae porthladd dynamig yn ei wneud yn anghyrraeddadwy oni bai bod rhywbeth o flaen yn cyhoeddi'r porthladd. Mae'r un ateb hwnnw'n gwahanu pob proffil cleient oddi wrth bob proffil gweinydd.

A yw'r llwybr yn hidlo ar borthladd ffynhonnell? Mae rheol lem a ysgrifennwyd ar gyfer un porthladd hysbys yn gorfodi porthladd lleol penodol, ac mae'n rhaid i'r proffil gofnodi pa reol y mae'n ei bodloni. Mae'r rhan fwyaf o rwydweithiau'n hidlo ar gyrchfan yn unig, felly mae'r amod hwn yn brinnach na'r cyntaf. Lle mae'n berthnasol, mae'n diystyru'r ffafriaeth am borthladd dynamig.

A yw sawl achos yn rhannu'r gwesteiwr? Ni all un porthladd sefydlog wasanaethu dau ohonynt, ac efallai y bydd achos wedi'i ailgychwyn yn dod o hyd i 1194 sydd o hyd mewn cyflwr cau. Mae porthladdoedd dynamig yn tynnu'r gwrthdaro hwnnw heb newid unrhyw beth arall. Os na allwch ateb hwn yn hyderus, cymerwch yn ganiataol ei fod yn wir a gadewch i'r cnewyllyn ddewis.

Lle mae porthladd wedi'i binio yn ateb cywir

Mae rhai rhwydweithiau'n hidlo ar borthladd ffynhonnell yn ogystal â chyrchfan, felly efallai bod gweithredwr wedi ysgrifennu rheol sy'n pasio traffig o un porthladd hysbys yn unig. Mae pinio'r porthladd lleol yn gywir wedyn, ac mae'n rhaid i'r proffil gario sylw sy'n enwi'r rheol y mae'n ei bodloni. Nid yw pinio er mwyn cymesuredd â phorthladd y gweinydd yn rheswm, oherwydd nid oes gan y ddau rif unrhyw beth i'w wneud â'i gilydd. Os yw'r pin yn bodoli dim ond oherwydd bod templed wedi'i gael, dilëwch ef.

Fel arall mae porthladd wedi'i binio yn prynu trafferth: ni all dau gleient ar un peiriant ddal 1194 ill dau, ac mae'r ail yn methu â gwall sy'n pwyntio at y porthladd yn hytrach nag at y proffil. Mae cynhwysydd sy'n ailgychwyn yn gyflym yn taro'r un wal. Y cywiriad yw'r cyfarwyddeb a oedd gan y proffiliau a gludir eisoes.

Nid yw gweinydd a chleient yn gymesur

llawlyfr OpenVPN 2.6 yn gosod nobind wrth ymyl lport, sef y ddadl mewn un llinell: mae un opsiwn yn dweud bod y cnewyllyn yn dewis, mae'r llall yn dweud mai chi sy'n gwneud. Nid yw porthladd lleol dynamig yn gweithio ond ar gyfer y cymar sy'n deialu, oherwydd ni all yr ochr sy'n ateb wybod y porthladd ymlaen llaw. Dyna pam mae copïo proffil cleient i weinydd yn cynhyrchu gwrandawr na all neb gyrraedd.

Ar westaiwyr â sawl rhyngwyneb rhwydwaith mae'r cyfeiriad yn benderfyniad ar wahân i'r porthladd. Mae rhwymo cyfeiriad lleol penodol a rhwymo porthladd penodol yn ddau osodiad gwahanol, ac mae gweinydd â dau gyswllt codi fel arfer yn pinio'r ddau. Mae cleient sy'n pinio'r ddau wedi cymryd yr un anhyblygrwydd heb unrhyw fudd o gwbl.

Mae'r crynodeb yn ymwneud â rolau yn hytrach na diogelwch: gall pwy bynnag sy'n deialu fod yn hyblyg ynglŷn â'i ffynhonnell ei hun, ac ni all pwy bynnag sy'n ateb. Nid yw'r un dewis yn newid yr hyn y mae'r pen arall yn ei ddysgu am eich hunaniaeth. Dyna hefyd pam mae'r cyfarwyddeb yn ymddangos mewn enghreifftiau cleient ac yn anaml iawn mewn rhai gweinydd.

Gwiriwch y porthladd a ddewiswyd gan y cnewyllyn

Ar ôl cysylltu, darllenwch y soced yn hytrach na'r gosodiad, oherwydd mae'r gosodiad yn datgan bwriad ac mae'r soced yn datgan beth ddigwyddodd. Y ffeithiau sy'n werth eu cofnodi yw'r porthladd lleol, y pwynt diwedd pell, ac a oes rhywbeth yn dal i wrando. Ar westaiwyr Linux mae'r tri yn un gorchymyn i ffwrdd.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Mae cleient gyda nobind yn dangos porthladd lleol uchel a'r porthladd pell a ffurfweddwyd, sef y siâp disgwyliedig. Mae gweinydd yn dangos soced sy'n gwrando ar ei borthladd a ffurfweddwyd, ac os yw'r soced hwnnw ar goll, nid yw'r proffil naill ai'n wrandawr neu wedi methu â rhwymo. Pan fodola ffrwd ond nad oes pecynnau'n dychwelyd, cymharwch y porthladd ffynhonnell a ddewiswyd ag unrhyw hidlydd porthladd ar y llwybr cyn golygu'r proffil. Newidiwch un peth, ailgysylltwch, a darllenwch y soced eto.