Η θύρα VPN δεν απαντά; Ακροατής, διεύθυνση δέσμευσης ή τείχος προστασίας του κεντρικού υπολογιστή

Το VPN δεν απαντά σε τίποτα στη θύρα του, και τα δύο πιθανά αίτια απαιτούν αντίθετες επισκευές: είτε καμία διεργασία δεν άνοιξε τον υποδοχέα, είτε ο υποδοχέας υπάρχει και κάτι ανάμεσα στις μηχανές σταματά τα πακέτα. Μία εντολή κρίνει το πρώτο μισό αυτού του ερωτήματος, γι' αυτό προηγείται οποιουδήποτε κανόνα τείχους προστασίας. Η σειρά παρακάτω αφαιρεί μία εξήγηση ανά βήμα αντί να προσθέτει άλλη μια εικασία. Η εικασία ανάμεσα στις δύο είναι αυτό που μετατρέπει μια διάγνωση δέκα λεπτών σε ένα ολόκληρο βράδυ.

Υποθέστε ότι μπορείτε να συνδεθείτε στον διακομιστή και ότι ο πελάτης είναι πραγματικό προφίλ και όχι σαρωτής. Και οι δύο υποθέσεις μετράνε, γιατί ένας γενικός ανιχνευτής δεν μπορεί να απαντήσει σε ερώτημα ειδικό για το πρωτόκολλο.

Υπάρχει καθόλου ο υποδοχέας

Ξεκινήστε από όσα λέει η ίδια η υπηρεσία για τον εαυτό της: αν ξεκίνησε και, πιο χρήσιμο, ποιο ήταν το πρώτο σφάλμα εκκίνησης. Αποτυχία ανάλυσης, κλειδί που λείπει ή σφάλμα δέσμευσης εμποδίζουν τον ακροατή να υπάρξει ποτέ, και η διεργασία μπορεί να τερματιστεί τόσο ήσυχα που η γραμμή κατάστασης διαβάζεται διφορούμενα. Μια μονάδα που αναφέρεται ως ενεργή δεν είναι απόδειξη από μόνη της, γιατί η κύρια διεργασία μπορεί να ζει ενώ το συστατικό που έπρεπε να δεσμεύσει τη θύρα έχει ήδη παραιτηθεί.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Η λίστα υποδοχέων είναι το γεγονός πάνω στο οποίο στηρίζεται η υπόλοιπη διάγνωση. Διαβάστε τη στήλη της τοπικής διεύθυνσης και όχι μόνο τη θύρα, γιατί σε αυτή τη στήλη εμφανίζονται οι δεσμεύσεις loopback και οι δεσμεύσεις στη λάθος διεπαφή. Ένας ακροατής που υπάρχει στο 127.0.0.1 λειτουργεί τέλεια και παραμένει αόρατος για το φορητό σας.

Σε ποια διεύθυνση και οικογένεια απαντά ο υποδοχέας

Δύο λάθη μοιάζουν ίδια από την πλευρά του πελάτη και εξηγούν τις περισσότερες αναφορές "μη προσβάσιμο". Ένας διακομιστής δεσμευμένος στη διεύθυνση loopback δεν δέχεται ποτέ κίνηση από άλλη μηχανή, και ένας διακομιστής δεσμευμένος μόνο σε διεύθυνση IPv4 δεν απαντά ποτέ σε πελάτη που καλεί τη διεύθυνση IPv6 του ίδιου κεντρικού υπολογιστή. Συγκρίνετε τη διεύθυνση στον πίνακα υποδοχέων με τη διεύθυνση που καλεί πραγματικά ο πελάτης, χαρακτήρα προς χαρακτήρα, πριν υποθέσετε οτιδήποτε για την πολιτική.

Ο περιορισμός της λίστας σε μία θύρα τη διατηρεί ευανάγνωστη όταν ο κεντρικός υπολογιστής τρέχει πολλές υπηρεσίες. Το φίλτρο sport παίρνει τη θύρα μαζί με το μεταφορικό μέσο που δοκιμάζετε:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Η στήλη πρωτοκόλλου αλλάζει ολόκληρη την απάντηση

Ο πίνακας υποδοχέων ευρετηριάζει κατά πρωτόκολλο όπως και κατά θύρα, και πρόκειται για δύο ανεξάρτητες εγγραφές. Μια υπηρεσία που απαντά σε TCP στη θύρα 1194 δεν σας λέει τίποτα για το αν κάτι ακούει σε UDP 1194, και ο πελάτης θα χρησιμοποιήσει πάντα μόνο ένα από τα δύο. Επιβεβαιώστε ποιο μεταφορικό μέσο επιλέγει η διαμόρφωση του διακομιστή και ποιο στέλνει το προφίλ του πελάτη, και μετά αναζητήστε ακριβώς εκείνη τη γραμμή.

Το UDP έχει μια δεύτερη πτυχή: ένας μη πιστοποιημένος ανιχνευτής δεν είναι σφάλμα που η υπηρεσία οφείλει να απαντήσει. Μια σάρωση που αναφέρει τη θύρα ως σιωπηλή μέτρησε τη διακριτικότητα της υπηρεσίας, όχι τη διαθεσιμότητά της, γι' αυτό δοκιμάστε με τον πραγματικό πελάτη και προφίλ.

Μία απόπειρα, τρία σημεία να κοιτάξετε

Από έναν εγκεκριμένο πελάτη κάντε ακριβώς μία απόπειρα και σημειώστε την ώρα με ακρίβεια δευτερολέπτου. Μετά διαβάστε τρεις πηγές για εκείνο το παράθυρο: τον κανόνα δικτύου ή την κονσόλα του παρόχου, τους μετρητές ή το αρχείο του τείχους προστασίας του κεντρικού υπολογιστή και το δικό του αρχείο της υπηρεσίας. Το να το κάνετε μία φορά είναι αυτό που κάνει τις τρεις μαρτυρίες συγκρίσιμες, και κοστίζει λιγότερο από το να επαναλάβετε μια απόπειρα της οποίας κανείς δεν κατέγραψε τη χρονική σήμανση.

Τα δύο αποτελέσματα δείχνουν σε αντίθετες κατευθύνσεις. Αν κανένα πακέτο δεν έφτασε στον κεντρικό υπολογιστή, η διαδρομή το απορρίπτει και ο ακροατής είναι άσχετος. Αν το πακέτο έφτασε στον υποδοχέα και η υπηρεσία το απέρριψε, η διαδρομή είναι εντάξει και η απάντηση βρίσκεται στο πρωτόκολλο, στην κρυπτογραφία ή στα διαπιστευτήρια. Το άνοιγμα θύρας για μια υπηρεσία που έχει ήδη δεχθεί σύνδεση κάνει την επόμενη διάγνωση δυσκολότερη, όχι ευκολότερη.

Ονομάστε το στάδιο πριν αλλάξετε κανόνα

Διαπραγμάτευση που ξεκινά και έλεγχος ταυτότητας που αποτυγχάνει είναι μία αποτυχία, και μια σήραγγα που στήνεται ενώ η προώθηση κολλάει είναι εντελώς διαφορετική. Το να ονομάσετε πρώτα το στάδιο κρατά την επισκευή στενή: ένα πρόβλημα διαπιστευτηρίων δεν διορθώνεται με κανόνα τείχους προστασίας, και ένα πρόβλημα διαδρομής δεδομένων δεν διορθώνεται με επανεκκίνηση.

Χρησιμοποιήστε τη στενότερη διάγνωση που απαντά στο ερώτημα. Μια προσωρινή παρατήρηση πακέτων σε μία θύρα, υπό τον έλεγχο διαχειριστή, είναι λογικό εργαλείο· η απενεργοποίηση ολόκληρου του τείχους προστασίας δεν είναι, γιατί το αποτέλεσμα γίνεται αδύνατο να αποδοθεί. Η τεκμηρίωση του ss καλύπτει τα φίλτρα που χρησιμοποιήθηκαν παραπάνω, και είναι φθηνότερο πρώτο βήμα από οποιαδήποτε σύλληψη. Καταγράψτε ποιον από τους δύο κλάδους αποδείξατε, και η επόμενη περίπτωση ξεκινά από γνωστή απάντηση.