Porth VPN yn ddistaw? Gwrandäwr, cyfeiriad rhwymo neu firewall y gwesteiwr

Nid yw'r VPN yn ateb dim ar ei borth, ac mae'r ddau achos posibl yn gofyn am atgyweiriadau cyferbyniol: naill ai ni agorodd unrhyw broses y soced, neu mae'r soced yn bodoli ac mae rhywbeth rhwng y peiriannau yn stopio'r pecynnau. Mae un gorchymyn yn setlo hanner cyntaf y cwestiwn hwnnw, a dyna pam y daw o flaen unrhyw reol firewall. Mae'r drefn isod yn tynnu un esboniad y cam yn lle ychwanegu dyfaliad arall. Dyfalu rhwng y ddau sy'n troi diagnosis o ddeg munud yn noson gyfan.

Cymerwch y gallwch fewngofnodi i'r gweinydd a bod y cleient yn broffil go iawn yn hytrach na sganiwr. Mae'r ddau dybiaeth yn bwysig, oherwydd ni all prawf generig ateb cwestiwn sy'n benodol i brotocol.

A yw'r soced yn bodoli o gwbl

Dechreuwch gyda'r hyn y mae'r gwasanaeth yn ei ddweud amdano'i hun: a gododd, ac yn fwy defnyddiol, beth oedd ei gamgymeriad cychwyn cyntaf. Mae methiant dosrannu, allwedd ar goll neu gamgymeriad rhwymo yn atal y gwrandäwr rhag bodoli o gwbl, ac mae'r broses yn gallu gadael mor dawel nes bod y llinell statws yn darllen yn amwys. Nid yw uned sy'n adrodd ei bod yn weithredol yn brawf ynddo'i hun, oherwydd gall y brif broses fod yn fyw tra bo'r gydran a ddylai rwymo'r porth eisoes wedi rhoi'r gorau iddi.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Rhestr y socedi yw'r ffaith y mae gweddill y diagnosis yn sefyll arni. Darllenwch golofn y cyfeiriad lleol yn hytrach na'r porth yn unig, oherwydd yn y golofn honno y mae rhwymiadau loopback a rhwymiadau cyfeiriad rhyngwyneb anghywir yn ymddangos. Mae gwrandäwr sy'n bodoli ar 127.0.0.1 yn rhedeg yn berffaith ac yn dal yn anweledig i'ch gliniadur.

Ar ba gyfeiriad a pha deulu y mae'r soced yn ateb

Mae dau gamgymeriad yn edrych yr un fath o safbwynt y cleient ac yn cyfrif am y rhan fwyaf o adroddiadau "heb ei gyrraedd". Nid yw gweinydd wedi'i rwymo i gyfeiriad loopback byth yn derbyn traffig o beiriant arall, ac nid yw gweinydd wedi'i rwymo i gyfeiriad IPv4 yn unig byth yn ateb cleient sy'n deialu cyfeiriad IPv6 yr un gwesteiwr. Cymharwch y cyfeiriad yn y tabl socedi â'r cyfeiriad y mae'r cleient yn ei ddeialu mewn gwirionedd, nod wrth nod, cyn tybio unrhyw beth am bolisi.

Mae cyfyngu'r rhestr i un porth yn ei chadw'n ddarllenadwy pan fo'r gwesteiwr yn rhedeg sawl gwasanaeth. Mae'r hidlydd sport yn cymryd y porth ynghyd â'r cludydd rydych yn ei brofi:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Mae'r golofn brotocol yn newid yr ateb cyfan

Mae'r tabl socedi'n allweddoli ar brotocol yn ogystal â phorth, ac maent yn ddau gofnod annibynnol. Nid yw gwasanaeth sy'n ateb TCP ar 1194 yn dweud dim wrthych a oes rhywbeth yn gwrando ar UDP 1194, a bydd y cleient byth yn defnyddio ond un ohonynt. Cadarnhewch ba gludydd y mae cyfluniad y gweinydd yn ei ddewis a pha un y mae proffil y cleient yn ei anfon, yna chwiliwch am yr union res honno.

Mae gan UDP dro arall: nid yw prawf heb ei ddilysu yn gamgymeriad y mae'n rhaid i'r gwasanaeth ei ateb. Mae sgan sy'n adrodd bod y porth yn ddistaw wedi mesur disgresiwn y gwasanaeth, nid ei argaeledd, felly profwch gyda'r cleient a'r proffil go iawn.

Un ymgais, tri lle i edrych

O gleient a gymeradwywyd gwnewch un ymgais yn union a nodwch yr amser i'r eiliad. Yna darllenwch dri ffynhonnell ar gyfer y ffenestr honno: rheol rwydwaith neu gonsol y darparwr, cownteri neu log firewall y gwesteiwr, a log y gwasanaeth ei hun. Gwneud hyn unwaith sy'n gwneud y tri chyfrif yn gymharadwy, ac mae'n costio llai na hailadrodd ymgais nad oedd neb wedi cofnodi ei hamsernod.

Mae'r ddau ganlyniad yn pwyntio i gyfeiriadau cyferbyniol. Os na chyrhaeddodd unrhyw becyn y gwesteiwr, mae'r llwybr yn ei ollwng ac mae'r gwrandäwr yn amherthnasol. Os cyrhaeddodd y pecyn y soced a gwrthododd y gwasanaeth ef, mae'r llwybr yn iawn ac mae'r ateb yn y protocol, y cryptograffeg neu'r manylion mewngofnodi. Mae agor porth ar gyfer gwasanaeth sydd eisoes wedi derbyn cysylltiad yn gwneud y diagnosis nesaf yn anoddach, nid yn haws.

Enwch y cam cyn newid rheol, nid ar ôl

Mae trafodaeth sy'n dechrau a dilysiant sy'n methu yn un methiant, ac mae tiwnel sy'n sefydlu tra bo'r anfon ymlaen yn stopio yn un hollol wahanol. Mae enwi'r cam yn gyntaf yn cadw'r atgyweiriad yn gul: ni chaiff problem manylion mewngofnodi ei thrwsio gan reol firewall, ac ni chaiff problem llwybr data ei thrwsio gan ailgychwyn.

Defnyddiwch y diagnosis culaf sy'n ateb y cwestiwn. Mae arsylwi pecynnau dros dro ar un porth, o dan reolaeth gweinyddwr, yn offeryn rhesymol; nid yw analluogi'r firewall cyfan, oherwydd daw'r canlyniad yn amhosibl ei briodoli. Mae dogfennaeth ss yn cynnwys yr hidlwyr a ddefnyddiwyd uchod, ac mae'n gam cyntaf rhatach nag unrhyw ddalfa. Cofnodwch pa un o'r ddwy gangen a brofwyd gennych, ac mae'r achosion nesaf yn dechrau o ateb hysbys.