Mae OpenVPN yn cysylltu ond nid oes dim yn llifo: darganfyddwch yr haen lle mae’r pecyn yn marw

OpenVPN yn dweud cysylltiedig ac nid oes traffig yn symud, brawddeg sy’n cwmpasu o leiaf bump o fethiannau digyswllt. Mae golygu rheolau wal dân cyn i chi wybod pa haen sy’n methu yn lluosi’r ansicrwydd ac yn gadael llanast i’r peiriannydd nesaf. Gweithiwch allan o’r broses yn lle hynny, oherwydd mae pob cam isod naill ai’n clirio un cam neu’n culhau lle mae’r pecyn yn marw. Mae trefn yn bwysig yma: bydd cofnod a gymerwyd cyn i chi wybod pa gyfeiriad sy’n rhwym yn profi rhywbeth, dim ond nid y peth sydd ei angen arnoch.

Mae’r soced naill ai’n rhwym neu ddim

Gall gwasanaeth sy’n adrodd ei fod yn weithredol fod wedi’i rwymo i gyfeiriad neu gludiant na fwriadwyd gennych. Holwch y soced ei hun: mae ss -lunp yn rhestru gwrandawyr UDP ac mae ss -ltnp yn rhestru TCP, a’r golofn sy’n werth ei darllen yw’r cyfeiriad lleol, nid y cyflwr.

Mae ateb gwag fel arfer yn golygu un o dri pheth: bod y broses wedi gadael ar ôl cychwyn, ei bod wedi llwytho ffeil gyfluniad arall, neu ei bod yn gwrando ar gyfeiriad gwahanol i’r un sy’n cael ei ddeialu.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Mae cyfarwyddeb local yn pinnio’r gwrandawr i un cyfeiriad, felly mae cleient sy’n anelu i rywle arall ar yr un gwesteiwr yn cael ei wrthod tra bo’r gwasanaeth yn dal i edrych yn iach o’r tu allan. Gall enw enghraifft hefyd bwyntio at ffeil na wnaethoch chi ei golygu erioed, sy’n digwydd ar westeiwyr sy’n rhedeg dau broffil ochr yn ochr.

Cofnodwch y pecyn allanol, nid y twnnel

Hidlowch ar y rhyngwyneb corfforol a’r porthladd go iawn, gyda’ch rhyngwyneb eich hun wedi’i roi yn ei le: tcpdump -ni eth0 udp port 1194. Mae pecynnau allanol heb ddim yn dod yn ôl yn cyfeirio at yr hyn sydd ymhellach i fyny: hidlo darparwr, dyfais NAT, neu gyfeiriad pell nad yw’r un rydych chi’n ei feddwl. Mae distawrwydd yn y ddau gyfeiriad yn cyfeirio at lwybrau’r cleient neu wal dân leol. Mae atebion sy’n cyrraedd heb gynnydd yn y twnnel yn cyfeirio at y sianel reoli, hynny yw, anghysondeb allwedd neu seis, nid at hidlo.

Cofnodwch y ddau gyfeiriad a chadwch y ffeil yn fyr. Mae cofnod hir yn claddu’r tair eiliad diddorol, ac mae’r ateb bron bob amser yn y gyfnewidfa gyntaf.

Cyfrifwyr yn gyntaf, olrhain dim ond pan fyddant yn dweud celwydd

Dechreuwch gyda’r cyfrifwyr, oherwydd nid ydynt yn costio dim. Mae naill ai nft list ruleset neu iptables -L -n -v yn ateb yr un cwestiwn sy’n bwysig yma: a oedd y rheol yn cyfateb? Mae trefn yn penderfynu’r canlyniad, oherwydd y cyfatebiad cyntaf sy’n ennill, a dyna pam mae DROP eang o flaen ACCEPT diweddarach yn gadael yr ACCEPT hwnnw’n farw a dyna pam mae ychwanegu rheol mor anaml yn trwsio unrhyw beth.

Mae perchnogaeth yn baglu pobl hefyd. Mae’r cnewyllyn yn priodoli pecynnau a gynhyrchir yn lleol i’r broses a agorodd y soced, ac mae OpenVPN fel arfer yn rhedeg fel root, felly nid yw rheol sy’n seiliedig ar ID defnyddiwr cyffredin byth yn gweld traffig y twnnel ei hun. Gwiriwch UID y perchennog cyn penderfynu bod y rheol yn anghywir.

Dim ond pan fydd y cyfrifwyr yn parhau’n amwys y mae log yn werth y sŵn, a hyd yn oed yna dim ond ar gyfer tafell gul: rheol iptables sy’n cyfyngu cyfradd ac yn rhagddodi ei llinellau log, neu reol nftables sy’n cario meta nftrace set 1 gyda nft monitor trace yn rhedeg. Mae olrhaid yn enwi’r gadwyn a’r rheol a dderbyniodd neu a daflodd y pecyn. Tynnwch y ddau wedyn a chadwch logio llwyth allan ohoni.

Gwiriwch y cludiant hefyd. Nid yw gwasanaeth wal dân sy’n gyfyngedig i TCP yn dweud dim am wrandawr UDP ar y rhif hwnnw, felly gall rheol sy’n darllen yn gywir daflu pob pecyn o hyd.

Llwybro a’r ffordd yn ôl

Mae pecyn a dderbyniwyd sy’n dal i ddiflannu angen archwilio ei lwybr cyrchfan. Mae ip route get yn adrodd y llwybr a ddewiswyd ar gyfer un cyfeiriad, a gall hidlo llwybr gwrthdro daflu ateb sy’n cyrraedd dros ryngwyneb na fyddai’r brif dabl byth yn ei ddewis. Mae’r symptom yn edrych yn union fel tafliad wal dân, a dyna pam mae’r gwiriad hwn yn dod cyn rheol NAT arall.

Ar borth, archwiliwch anfon ymlaen a’r gadwyn forward yn hytrach na’r gadwyn input. Yna cadarnhewch fod yr ochr bell yn gwybod sut i gyrraedd y cyfeiriad ffynhonnell, oherwydd mae llwybr allanol sy’n gweithio heb ddim yn dod yn ôl yn ddistawrwydd y naill ffordd neu’r llall.

Beth sydd gan y cofnod i’w ddweud

Ar gyfer pob newid, nodwch y cam a brofwyd gennych, y dystiolaeth a ddarllenwyd gennych a gwerth y cyfrifydd ar y ddwy ochr. Y nodyn hwnnw sy’n gwneud "mae’n gweithio nawr" yn fyw yn yr adolygiad nesaf.

Mae dau fyrbwl yn cadw’r nodyn yn onest. Ni allai pecyn na adawodd y gwesteiwr erioed gael ei daflu gan reol yn rhywle arall, waeth pa mor argyhoeddiadol yr edrychai cyfluniad yr ochr bell. Mae pecyn a adawodd ac a ddychwelodd yn symud y cwestiwn uwchben y haen rhwydwaith, lle nad oes gan gyfrifwyr wal dân ddim mwy i’w ddweud wrthych.