Το OpenVPN λειτουργεί στο σπίτι αλλά όχι σε ένα δίκτυο: UDP ή TCP;

Το ίδιο προφίλ συνδέεται από το σπίτι και κολλάει σε δίκτυο ξενοδοχείου, πανεπιστημιούπολης ή υποκαταστήματος. Τα διαπιστευτήρια δεν άλλαξαν, άρα η ενδιαφέρουσα μεταβλητή είναι η διαδρομή: τι συμβαίνει στα πακέτα πριν OpenVPN τα διαβάσει. Η σύγκριση τεσσάρων πιθανών αιτιών με τη σειρά που μπορούν να ελεγχθούν είναι καλύτερη από το να μαντεύουμε πιστοποιητικά. Καθεμία αφήνει διαφορετικό ίχνος, και το ίχνος είναι αυτό που τις ξεχωρίζει.

Ποιο στάδιο απέτυχε δείχνει ποια σύγκριση έχει σημασία

Το αρχείο καταγραφής του πελάτη καταγράφει ήδη πόσο μακριά φτάσατε. Μια γραμμή που λέει ότι η διαπραγμάτευση κλειδιού TLS δεν έγινε εντός του χρονικού ορίου σημαίνει ότι ένα πρώτο πακέτο έφυγε και δεν επέστρεψε τίποτα χρήσιμο, το οποίο δείχνει στη διαδρομή. Η απόρριψη πιστοποιητικού δεν μοιάζει καθόλου: φτάνει μια απάντηση και μετά ένα συγκεκριμένο σφάλμα επαλήθευσης ονομάζει την αιτία. Προσέξτε την τελευταία γραμμή πριν από τον βρόχο επανάληψης, γιατί αυτή είναι η τιμή που συγκρίνετε μεταξύ δικτύων.

Καταγράψτε κατά την επανάληψη και όχι μετά. Στον πελάτη, το tcpdump -ni any udp port 1194 δείχνει αν επιστρέφει καθόλου κάποια απάντηση. Επαναλάβετε το στη διεπαφή WAN ενός διακομιστή που ελέγχετε, κάτι που αποκαλύπτει αν αυτά τα πακέτα φτάνουν καθόλου στο απομακρυσμένο άκρο.

Η μονόπλευρη κίνηση είναι το πιο χρήσιμο αποτέλεσμα που υπάρχει εδώ, γιατί μετατρέπει ένα περιστασιακό παράπονο σε κατεύθυνση έρευνας. Κρατήστε τα αρχεία καταγραφής, γιατί η επόμενη αναφορά του ίδιου προβλήματος κλείνει ευκολότερα με αποδεικτικά στοιχεία παρά με περιγραφή.

Φιλτράρισμα UDP έναντι κλειστής θύρας

Πολλά δίκτυα πρόσβασης θεωρούν το συνεχές UDP ύποπτο, και μερικοί πάροχοι συμφωνούν μαζί τους. Μια κλειστή θύρα παράγει την ίδια σιωπή από την πλευρά του πελάτη. Η διαφορά είναι η επιλεκτικότητα: ένα φίλτρο τείνει να είναι επιλεκτικό ως προς το ποιους προορισμούς ή θύρες απορρίπτει, ενώ μια κλειστή θύρα αρνείται ό,τι στοχεύει σε αυτή τη μία θύρα.

Ένα προφίλ TCP στη θύρα 443 είναι η συνηθισμένη λύση, γιατί μοιάζει με συνηθισμένη ροή HTTPS και περνά τα περισσότερα captive portals και φίλτρα εξόδου. Πρέπει να ισχύουν δύο προϋποθέσεις. Ο διακομιστής πρέπει να ακούει με proto tcp-server και ο πελάτης να ταιριάζει με proto tcp-client, και ο διαχειριστής πρέπει να δημοσιεύσει αυτό το εναλλακτικό τελικό σημείο. Το να ξαναγράψετε ένα λειτουργικό προφίλ UDP ώστε να δηλώνει TCP 443 δεν οδηγεί πουθενά όταν στην άλλη άκρη δεν ακούει κανείς.

Η κλειστή θύρα είναι πρόβλημα διαμόρφωσης και όχι λογοκρισίας. Ένας διακομιστής πίσω από οικιακό δρομολογητή χρειάζεται προώθηση της θύρας UDP, και το τείχος προστασίας του δρομολογητή πρέπει να το επιτρέπει. Όταν η θύρα δεν επιτράπηκε ποτέ, κάθε πελάτης αποτυγχάνει στη διαπραγμάτευση ανεξάρτητα από τα διαπιστευτήρια, και η αποτυχία ακολουθεί τον διακομιστή και όχι το δίκτυο.

Τα παλαιότερα πρωτόκολλα συγκρίνονται άσχημα σε αυτόν τον άξονα. Το PPTP χρειάζεται TCP 1723 συν GRE, και το GRE είναι πρωτόκολλο IP 47 και όχι θύρα, άρα καμία συνηθισμένη προώθηση θύρας δεν το εκφράζει.

Όταν ο μεταγωγέας είναι αυτός που ρίχνει πακέτα

Ένας διαχειριζόμενος μεταγωγέας μπορεί να ρίξει τη σήραγγα σκόπιμα. Ορισμένα μοντέλα HPE και Aruba προσφέρουν έλεγχο προστασίας από πλημμύρα UDP, ενίοτε με ετικέτα Prevent UDP Blat Attack, στην ενότητα προηγμένης ασφάλειας. Μόλις αυτός ο έλεγχος είναι ενεργός, ένας διακομιστής πίσω από τον μεταγωγέα δεν απαντά τίποτα και κάθε πελάτης λήγει με τον ίδιο τρόπο. Η απενεργοποίηση και η αποθήκευση της τρέχουσας διαμόρφωσης είναι όλη η επισκευή, αλλά μόνο αφού διαπιστώσετε ότι ο μεταγωγέας είναι πράγματι στη διαδρομή.

Τα αντισταθμιστικά στοιχεία είναι αυτό που ξεχωρίζει μια πτώση από μεταγωγέα από έναν αποκλεισμό παρόχου. Διαβάστε τους μετρητές διεπαφής και το αρχείο προστασίας από πλημμύρα πριν ανοίξετε αίτημα στον πάροχο. Οι οικιακοί δρομολογητές με προστασία DoS ή πλημμύρας αποτυγχάνουν με την ίδια μορφή, και το ίδιο κάθε ενδιάμεσο κουτί με σύντομο χρόνο αδράνειας UDP. Μια χειραψία που δεν ολοκληρώνεται ποτέ υποδηλώνει πτώση, ενώ μια σήραγγα που πεθαίνει μετά από λεπτά ησυχίας υποδηλώνει το χρονικό όριο.

Γράψτε κάθε συσκευή ανάμεσα στον πελάτη και τον διακομιστή πριν αλλάξετε προφίλ. Μια διόρθωση που εφαρμόστηκε στο λάθος επίπεδο φαίνεται σωστή μέχρι το επόμενο δίκτυο. Αυτή η λίστα λέει επίσης στον επόμενο μηχανικό πού να κοιτάξει χωρίς να επαναλάβει όλη την έρευνα.

Μια επικάλυψη διευθύνσεων που μοιάζει με αποτυχία DNS

Ένα δίκτυο πρόσβασης αριθμημένο μέσα στο 10.0.0.0/8 μπορεί να επικαλυφθεί με τη δεξαμενή της σήραγγας, και ο επιλυτής συνήθως ζει μέσα σε αυτή τη δεξαμενή. Όταν ένας φορητός υπολογιστής λαμβάνει διεύθυνση όπως 10.184.178.50 με μάσκα /8 στο Wi-Fi, κάθε προορισμός 10.x είναι τοπικός εξ ορισμού. Τα πακέτα για 10.4.0.1 πηγαίνουν τότε στο LAN, η σήραγγα μένει όρθια και η επίλυση ονομάτων αποτυγχάνει.

Το ip addr αποκαλύπτει την επικάλυψη με μια ματιά, και το ip route get 10.4.0.1 δείχνει πού θα παραδιδόταν πραγματικά το πακέτο. Επειδή το ορατό σύμπτωμα είναι αποτυχία του επιλυτή, αυτό συχνά επιβιώνει από αρκετούς γύρους αλλαγών DNS.

Αριθμήστε ξανά τη δεξαμενή ή κρατήστε αυτό το δίκτυο πρόσβασης εκτός εμβέλειας. Καμία ρύθμιση στην πλευρά του πελάτη δεν ανακάμπτει από επικάλυψη.

Απόφαση ανάμεσα σε εναλλακτικό TCP και διόρθωση διαδρομής

Διαλέξτε το εναλλακτικό TCP όταν δεν ελέγχετε τη διαδρομή και οι χρήστες πρέπει να δουλέψουν σήμερα, και δεχτείτε το κόστος του: το TCP μέσα σε TCP συμπεριφέρεται άσχημα σε ζεύξεις με απώλειες, και το εναλλακτικό χρειάζεται έναν ακροατή που λειτουργείτε εσείς. Διαλέξτε τη διόρθωση διαδρομής όταν ο αποκλεισμός βρίσκεται σε υποδομή που σας ανήκει, γιατί ένας κανόνας τείχους προστασίας είναι φθηνότερος από δεύτερο ακροατή. Όπως και να έχει, περάστε τα επίπεδα με σειρά: ζεύξη, εξωτερική μεταφορά, διαπραγμάτευση, εσωτερική δρομολόγηση. Το στάδιο που απέτυχε σε εκείνο το δίκτυο είναι το μόνο γεγονός που έχει σημασία.

Καταγράψτε το αποτέλεσμα ανά δίκτυο και όχι ανά χρήστη. Η επόμενη αναφορά της ίδιας αποτυχίας ξεκινά τότε από γνωστό στάδιο αντί για μια θεωρία πιστοποιητικού. Αυτή η καταγραφή είναι επίσης αυτό που δικαιολογεί έναν μόνιμο δεύτερο ακροατή, αν χρειαστεί ποτέ.