Mae OpenVPN yn gweithio gartref ond nid ar un rhwydwaith: UDP neu TCP?

Mae’r un proffil yn cysylltu gartref ac yn aros yn llonydd ar rwydwaith gwesty, campws neu gangen. Nid yw’r manylion mewngofnodi wedi newid, felly’r newidyn diddorol yw’r llwybr: beth sy’n digwydd i’r pecynnau cyn i OpenVPN eu darllen. Mae cymharu pedair achos ymgeisiol yn y drefn y gellir eu profi yn well na dyfalu am dystysgrifau. Mae pob un yn gadael ôl gwahanol, a’r ôl sy’n eu gwahanu.

Mae pa gam a fethodd yn dweud pa gymhariaeth sy’n bwysig

Mae log y cleient eisoes yn cofnodi pa mor bell yr aethoch. Mae llinell sy’n dweud na ddigwyddodd trafodaeth allwedd TLS o fewn yr amser yn golygu bod pecyn cyntaf wedi gadael ac na ddaeth unrhyw beth defnyddiadwy yn ôl, sy’n pwyntio at y llwybr. Mae gwrthodiad tystysgrif yn edrych yn hollol wahanol: daw ymateb, yna mae gwall dilysu penodol yn enwi’r rheswm. Nodwch y llinell olaf cyn y ddolen ailgynnig, oherwydd dyna’r gwerth rydych chi’n ei gymharu ar draws rhwydweithiau.

Cofnodwch wrth ailgynnig, nid ar ôl hynny. Ar y cleient, mae tcpdump -ni any udp port 1194 yn dangos a ddaw unrhyw ateb yn ôl o gwbl. Ailadroddwch hyn ar ryngwyneb WAN gweinydd rydych chi’n ei reoli, sy’n datgelu a yw’r pecynnau hynny’n cyrraedd y pen pellaf o gwbl.

Trafnidiaeth unochrog yw’r canlyniad mwyaf defnyddiol sydd ar gael yma, oherwydd mae’n troi cwyn ysbeidiol yn gyfeiriad i ymchwilio iddo. Cadwch y ffeiliau cofnodi, oherwydd mae’n haws cau’r adroddiad nesaf o’r un broblem gyda thystiolaeth nag ag disgrifiad.

Hidlo UDP yn erbyn porth caeedig

Mae llawer o rwydweithiau mynediad yn ystyried UDP parhaus yn amheus, ac mae rhai ISP yn cytuno â nhw. Mae porth caeedig yn cynhyrchu’r un tawelwch o ochr y cleient. Y gwahaniaeth yw detholusrwydd: mae hidlydd yn tueddu i fod yn ddewisol ynghylch pa gyrchfannau neu borthladdoedd y mae’n eu gollwng, tra bo porth caeedig yn gwrthod popeth sy’n anelu at y porth hwnnw.

Proffil TCP ar borth 443 yw’r ateb arferol, oherwydd mae’n debyg i ffrwd HTTPS gyffredin ac yn mynd trwy’r rhan fwyaf o borthladdoedd caeth a hidlwyr allanfa. Rhaid i ddau amod fodoli. Rhaid i’r gweinydd wrando gyda proto tcp-server a rhaid i’r cleient gyfateb gyda proto tcp-client, a rhaid i’r gweithredwr gyhoeddi’r pwynt terfynol amgen hwnnw. Nid yw ailysgrifennu proffil UDP sy’n gweithio i honni TCP 443 yn cyrraedd unrhyw le pan nad oes neb yn gwrando ar y pen arall.

Mae porth caeedig yn broblem ffurfweddu yn hytrach na phroblem sensoriaeth. Mae gweinydd y tu ôl i lwybrydd cartref angen ei borth UDP wedi’i anfon ymlaen, ac mae’n rhaid i danwal y llwybrydd ganiatáu hynny. Pan na chafodd y porth ei ganiatáu erioed, mae pob cleient yn methu wrth drafod heb ystyriaeth i’r manylion mewngofnodi, ac mae’r methiant yn dilyn y gweinydd yn lle’r rhwydwaith.

Mae protocolau hŷn yn cymharu’n wael ar yr echel hon. Mae PPTP angen TCP 1723 ynghyd â GRE, a GRE yw protocol IP 47 yn hytrach na phorth, felly nid oes unrhyw anfon porth cyffredin yn ei fynegi.

Pan mai’r switsh sy’n gollwng pecynnau

Gall switsh a reolir ollwng y tiwnel yn fwriadol. Mae rhai modelau HPE ac Aruba yn cynnig rheolaeth amddiffyn rhag llifogydd UDP, weithiau wedi’i labelu Prevent UDP Blat Attack, yn eu hadran diogelwch uwch. Unwaith y bydd y rheolaeth honno’n weithredol, nid yw gweinydd y tu ôl i’r switsh yn ateb dim ac mae pob cleient yn rhedeg allan o amser yr un ffordd. Ei glirio a chadw’r ffurfweddiad rhedegol yw’r cyfan o’r atgyweiriad, ond dim ond ar ôl i chi sefydlu bod y switsh mewn gwirionedd ar y llwybr.

Tystiolaeth wrthgyferbyniol sy’n gwahanu gollwng switsh oddi wrth floc darparwr. Darllenwch y cyfrifwyr rhyngwyneb a’r log amddiffyn rhag llifogydd cyn agor tocyn gyda’r ISP. Mae llwybryddion defnyddwyr ag amddiffyniad DoS neu lifogydd yn methu yn yr un siâp, ac felly hefyd unrhyw floesg bos canol â chyfnod segur UDP byr. Mae ysgwyd llaw nad yw byth yn cwblhau yn awgrymu gollwng, tra bo tiwnel sy’n marw ar ôl munudau o dawelwch yn awgrymu’r cyfyngiad amser.

Nodwch bob dyfais rhwng y cleient a’r gweinydd cyn newid proffil. Mae atgyweiriad a gymhwysir ar y haen anghywir yn edrych yn gywir hyd at y rhwydwaith nesaf. Mae’r rhestr honno hefyd yn dweud wrth y peiriannydd nesaf ble i edrych heb ailadrodd yr holl ymchwiliad.

Gorgyffwrdd cyfeiriadau sy’n edrych fel methiant DNS

Gall rhwydwaith mynediad a rifwyd o fewn 10.0.0.0/8 orgyffwrdd â chronfa’r tiwnel, ac mae’r datryswr fel arfer yn byw o fewn y gronfa honno. Pan fydd gliniadur yn derbyn cyfeiriad fel 10.184.178.50 â masg /8 ar Wi-Fi, mae pob cyrchfan 10.x yn lleol yn ôl diffiniad. Mae pecynnau ar gyfer 10.4.0.1 yn mynd wedyn i’r LAN, mae’r tiwnel yn aros i fyny, ac mae datrys enwau’n methu.

Mae ip addr yn datgelu’r gorgyffwrdd ar un olwg, ac mae ip route get 10.4.0.1 yn dangos ble y byddai’r pecyn yn cael ei ddanfon mewn gwirionedd. Gan mai methiant datryswr yw’r symptom gweladwy, mae hwn yn aml yn goroesi sawl rownd o newidiadau DNS.

Ailrifwch y gronfa neu cadwch y rhwydwaith mynediad hwnnw y tu allan i’r cwmpas. Nid oes unrhyw osodiad ar ochr y cleient yn adfer o orgyffwrdd.

Penderfynu rhwng TCP wrth gefn ac atgyweiriad llwybr

Dewiswch y TCP wrth gefn pan nad ydych yn rheoli’r llwybr ac mae angen i ddefnyddwyr weithio heddiw, a derbyniwch ei gostau: mae TCP y tu mewn i TCP yn ymddwyn yn wael ar gysylltiadau colledus, ac mae’r ateb wrth gefn angen gwrandäwr rydych chi’n ei weithredu. Dewiswch atgyweiriad llwybr pan fo’r bloc ar seilwaith rydych chi’n berchen arno, oherwydd mae rheol wal dân yn rhatach na dau wrandäwr. Naill ffordd neu’r llall, ewch drwy’r haenau mewn trefn: cyswllt, cludo allanol, trafodaeth, llwybro mewnol. Y cam a fethodd ar y rhwydwaith honno yw’r unig ffaith sy’n bwysig.

Cofnodwch y canlyniad fesul rhwydwaith yn hytrach nag fesul defnyddiwr. Mae’r adroddiad nesaf o’r un methiant wedyn yn dechrau o gam hysbys yn lle o ddamcaniaeth tystysgrif. Mae’r cofnod hwnnw hefyd yn cyfiawnhau ail wrandäwr parhaol, os oes angen un rywbryd.