OpenVPN ar borth 53: tair sgwrs y mae pobl yn eu cymysgu
Chwiliad pen y llwybr, y cludiant wedi’i amgryptio a DNS ar ôl y twnnel yw tair sgwrs wahanol. Nodwch pa gam a fethodd cyn newid porth neu ddatryswr.
Mae adroddiadau sy’n dweud bod y VPN wedi’i rwystro ar borth 53 yn cymysgu tair arsylwad sy’n methu am wahanol resymau. Mae datrys enw pen y llwybr yn digwydd cyn bod unrhyw dwnnel, mae’r cludiant wedi’i amgryptio’n sgwrs ar wahân, ac mae’r ymholiadau DNS a wneir wedyn yn drydedd. Mae gan bob un ei llofnod methiant ei hun, a dim ond un ohonynt sy’n ymwneud â DNS o gwbl.
Trefnwch y pecynnau yn ôl pwrpas cyn newid unrhyw beth, oherwydd mae’r atgyweiriad yn dilyn y cam.
Tair sgwrs, un rhif porth
Y sgwrs gyntaf yw chwiliad enw ar gyfer pen y llwybr: mae eich peiriant yn gofyn i’w ddatryswr cyfluniedig ble mae vpn.example.com, ac mae’r ateb hwnnw’n cyrraedd dros DNS cyffredin cyn i’r cleient anfon unrhyw becyn twnnel. Yr ail yw cludiant OpenVPN ei hun, sy’n cysylltu â’r cyfeiriad a gynhyrchwyd gan y chwiliad ar ba bynnag brotocol a phorth y mae’r proffil yn eu henwi. Mae’r drydedd yn digwydd ar ôl i’r twnnel fod i fyny, pan fo rhaglenni’n gofyn am enwau ac mae’r gosodiadau datryswr a wthiwyd yn penderfynu pwy sy’n ateb.
Gall y tri hyn lwyddo neu fethu’n annibynnol. Gall cleient ddatrys ei ben llwybr yn berffaith ac eto fethu â chyrraedd y gwrandawr, a gall sefydlu twnnel tra bod pob chwiliad enw mewnol yn methu oherwydd na chyrhaeddodd y gosodiadau DNS byth.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Darllenwch y tabl fel rhestr wirio yn hytrach na disgrifiad. Os nad yw enw pen y llwybr yn datrys, ni all unrhyw beth diweddarach weithio, ac ni fydd y twnnel byth yn dechrau.
Nid yw rhif y porth yn enwi’r rhaglen
Mae porth 53 yn cario DNS yn ôl confensiwn, a gall gweithredwr OpenVPN gyhoeddi gwrandawr yno hefyd, a dyna’n union pam mae’r rhif yn nod gwael. Mae sesiwn OpenVPN ar UDP 53 yn dal i fod yn sesiwn OpenVPN, ac nid yw ymholiad DNS i weinydd ar borth 53 yn dweud dim am a yw twnnel yn cael ei ganiatáu. Mae llinellau proto a remote y proffil yn diffinio’r pen llwybr allanol; nid yw rhif y porth yn diffinio dim ynddo’i hun.
Mae hyn yn torri’r ddwy ffordd wrth ddiagnosio: mae prawf UDP cyffredinol i borth 53 yn profi bod porth yn ateb, nid bod y gwasanaeth VPN yn ateb. Profwch â’r cleient go iawn a’r proffil go iawn, oherwydd dim ond hynny sy’n arfer yr ysgydwad llaw y mae’r gwasanaeth yn ei ddisgwyl.
Profwch y gwrandawr cyn beio’r rhwydwaith
Ar y gweinydd, cadarnhewch beth sydd wedi’i rwymo â ss -lunp | grep 53 a’i gymharu â phrotocol a phorth y proffil. O rwydwaith y cleient, rhedegwch y cleient gyda mwy o fanwlrwydd fel bod y cofnod yn dangos pa gyfeiriad a chludiant a geisiodd. Os yw’r gweinydd yn gwrando ac nad yw pecynnau’r cleient yn cyrraedd, mae’r llwybr neu’r polisi yn eu gwrthod, a sgwrs i berchennog y rhwydwaith yw honno yn hytrach na rheswm i newid porthladdoedd.
Nid yw porth wahanol o fudd ond pan fo’r gwasanaeth yn gwrando yno go iawn ac mae’r defnydd yn caniatáu hynny. Mae symud gwrandawr i osgoi hidlydd rhwydwaith a reolir yn benderfyniad polisi, nid yn gam datrys problemau. Gofynnwch i berchennog y rhwydwaith beth a ganiateir cyn newid y gwasanaeth, oherwydd bydd datrysiad dros dro sy’n torri polisi yn cael ei gau yn ddiweddarach beth bynnag. Cofnodwch yr ateb hwnnw wrth ymyl y proffil fel na fydd y person nesaf yn ailadrodd y cais.
Gwiriwch DNS ar ôl y twnnel, ar wahân
Unwaith y bydd y twnnel i fyny, archwiliwch gyflwr y datryswr ar ryngwyneb y VPN ac ymholwch am un enw mewnol ac un enw cyhoeddus. Os yw enwau mewnol yn methu tra bod y twnnel yn cario traffig, ni chafodd y gosodiadau DNS a wthiwyd eu cymhwyso, sy’n gwestiwn integreiddio cleient yn hytrach nag un cludiant. Os yw enwau cyhoeddus yn methu ac enwau mewnol yn gweithio, mae’r polisi twnnel hollt yn gwneud yr hyn y cafodd ei gyflunio i’w wneud.
Cadwch newidiadau DNS gyda pherchennog y datryswr. Gall trosysgrifo cyfluniad datryswr a reolir i wneud i un prawf lwyddo dorri enwau preifat ar gyfer popeth arall ar y peiriant. Os yw’r twnnel yn gwthio datryswr ac mae’r cleient yn ei anwybyddu, trwsiwch integreiddiad y cleient yn hytrach nag ychwanegu cofnod statig rywle arall. Mae cofnodion statig yn cuddio’r methiant nes bod rhywun yn newid rhwydwaith. Ysgrifennwch pa ddatryswr sy’n ddisgwyliedig i ateb pob gofod enw.