OpenVPN στη θύρα 53: τρεις συνομιλίες που οι άνθρωποι μπερδεύουν
Η αναζήτηση του τελικού σημείου, η κρυπτογραφημένη μεταφορά και το DNS μετά τη σήραγγα είναι τρεις συνομιλίες. Προσδιορίστε ποιο στάδιο απέτυχε πριν αλλάξετε θύρα ή resolver.
Οι αναφορές που λένε ότι το VPN είναι μπλοκαρισμένο στη θύρα 53 αναμειγνύουν τρεις παρατηρήσεις που αποτυγχάνουν για διαφορετικούς λόγους. Η επίλυση του ονόματος του τελικού σημείου γίνεται πριν υπάρξει οποιαδήποτε σήραγγα, η κρυπτογραφημένη μεταφορά είναι ξεχωριστή συνομιλία και τα ερωτήματα DNS που γίνονται μετά είναι τρίτη. Καθένα έχει τη δική του υπογραφή αποτυχίας, και μόνο ένα από αυτά αφορά καθόλου το DNS.
Ταξινομήστε τα πακέτα κατά σκοπό πριν αλλάξετε οτιδήποτε, γιατί η διόρθωση ακολουθεί το στάδιο.
Τρεις συνομιλίες, ένας αριθμός θύρας
Η πρώτη συνομιλία είναι αναζήτηση ονόματος για το τελικό σημείο: το μηχάνημά σας ρωτά τον ρυθμισμένο resolver πού βρίσκεται το vpn.example.com, και αυτή η απάντηση φτάνει μέσω συνηθισμένου DNS πριν ο πελάτης στείλει έστω ένα πακέτο σήραγγας. Η δεύτερη είναι η ίδια η μεταφορά OpenVPN, που συνδέεται με τη διεύθυνση που παρήγαγε η αναζήτηση, με όποιο πρωτόκολλο και θύρα ορίζει το προφίλ. Η τρίτη συμβαίνει αφού η σήραγγα είναι ενεργή, όταν οι εφαρμογές ζητούν ονόματα και οι ρυθμίσεις resolver που προωθήθηκαν αποφασίζουν ποιος απαντά.
Αυτές οι τρεις μπορούν να πετύχουν ή να αποτύχουν ανεξάρτητα. Ένας πελάτης μπορεί να λύσει τέλεια το τελικό του σημείο και παρόλα αυτά να μην φτάσει στον ακροατή, και μπορεί να στήσει σήραγγα ενώ κάθε εσωτερική αναζήτηση ονόματος αποτυγχάνει επειδή οι ρυθμίσεις DNS δεν έφτασαν ποτέ.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Διαβάστε τον πίνακα ως λίστα ελέγχου, όχι ως περιγραφή. Αν το όνομα του τελικού σημείου δεν λυθεί, τίποτε μετά δεν μπορεί να λειτουργήσει, και η σήραγγα δεν ξεκινά ποτέ.
Ο αριθμός θύρας δεν ονομάζει την εφαρμογή
Η θύρα 53 μεταφέρει DNS κατά σύμβαση, και ένας διαχειριστής OpenVPN μπορεί επίσης να δημοσιεύσει εκεί ακροατή, γι’ αυτό ακριβώς ο αριθμός είναι κακό αναγνωριστικό. Μια συνεδρία OpenVPN στην UDP 53 παραμένει συνεδρία OpenVPN, και ένα ερώτημα DNS σε διακομιστή στη θύρα 53 δεν λέει τίποτε για το αν επιτρέπεται σήραγγα. Οι γραμμές proto και remote του προφίλ ορίζουν το εξωτερικό τελικό σημείο· ο αριθμός θύρας δεν ορίζει τίποτε από μόνος του.
Αυτό κόβει και προς τις δύο κατευθύνσεις στη διάγνωση: ένα γενικό UDP probe στη θύρα 53 αποδεικνύει ότι μια θύρα απαντά, όχι ότι απαντά η υπηρεσία VPN. Δοκιμάστε με τον πραγματικό πελάτη και το πραγματικό προφίλ, γιατί μόνο αυτό ασκεί τη χειραψία που περιμένει η υπηρεσία.
Αποδείξτε τον ακροατή πριν κατηγορήσετε το δίκτυο
Στον διακομιστή, επιβεβαιώστε τι είναι δεσμευμένο με το ss -lunp | grep 53 και συγκρίνετέ το με το πρωτόκολλο και τη θύρα του προφίλ. Από το δίκτυο του πελάτη, εκτελέστε τον πελάτη με μεγαλύτερη λεπτομέρεια ώστε το αρχείο καταγραφής να δείχνει ποια διεύθυνση και ποια μεταφορά δοκίμασε. Αν ο διακομιστής ακούει και τα πακέτα του πελάτη δεν φτάνουν, η διαδρομή ή η πολιτική τα απορρίπτει, και αυτό είναι συνομιλία για τον ιδιοκτήτη του δικτύου και όχι λόγος να αλλάξετε θύρες.
Μια άλλη θύρα βοηθά μόνο όταν η υπηρεσία ακούει πράγματι εκεί και η ανάπτυξη το επιτρέπει. Το να μετακινήσετε έναν ακροατή για να αποφύγετε το φιλτράρισμα ενός διαχειριζόμενου δικτύου είναι απόφαση πολιτικής, όχι βήμα αντιμετώπισης προβλημάτων. Ρωτήστε τον ιδιοκτήτη του δικτύου τι επιτρέπεται πριν αλλάξετε την υπηρεσία, γιατί μια παράκαμψη που παραβιάζει την πολιτική θα κλείσει αργότερα ούτως ή άλλως. Καταγράψτε αυτή την απάντηση δίπλα στο προφίλ ώστε το επόμενο άτομο να μην επαναλάβει το αίτημα.
Ελέγξτε το DNS μετά τη σήραγγα, ξεχωριστά
Μόλις η σήραγγα είναι ενεργή, εξετάστε την κατάσταση του resolver στη διεπαφή VPN και ρωτήστε ένα εσωτερικό και ένα δημόσιο όνομα. Αν τα εσωτερικά ονόματα αποτυγχάνουν ενώ η σήραγγα μεταφέρει κίνηση, οι ρυθμίσεις DNS που προωθήθηκαν δεν εφαρμόστηκαν, που είναι ζήτημα ενσωμάτωσης πελάτη και όχι μεταφοράς. Αν τα δημόσια ονόματα αποτυγχάνουν και τα εσωτερικά λειτουργούν, η πολιτική διαχωρισμένης σήραγγας κάνει αυτό για το οποίο ρυθμίστηκε.
Κρατήστε τις αλλαγές DNS στον ιδιοκτήτη του resolver. Η αντικατάσταση μιας διαχειριζόμενης ρύθμισης resolver για να περάσει ένα τεστ μπορεί να σπάσει ιδιωτικά ονόματα για όλα τα άλλα στο μηχάνημα. Αν η σήραγγα προωθεί resolver και ο πελάτης τον αγνοεί, διορθώστε την ενσωμάτωση του πελάτη αντί να προσθέσετε στατική καταχώριση αλλού. Οι στατικές καταχωρίσεις κρύβουν την αποτυχία μέχρι κάποιος να αλλάξει δίκτυο. Γράψτε ποιος resolver αναμένεται να απαντά σε κάθε χώρο ονομάτων.