Ĉu la VPN-pordo silentas? Aŭskultanto, bind-adreso aŭ gastiga fajroŝirmilo

La VPN respondas nenion sur sia pordo, kaj la du eblaj kaŭzoj postulas kontraŭajn riparojn: aŭ neniu procezo malfermis la ingon, aŭ la ingo ekzistas kaj io inter la maŝinoj haltigas la pakojn. Unu komando decidas la unuan duonon de tiu demando, do ĝi venas antaŭ ol ektuŝi ajnan fajroŝirmilan regulon. La suba ordo forigas unu klarigon po paŝo anstataŭ aldoni plian konjekton. Ĝuste la konjektado inter la du igas dekminutan diagnozon tuta vespero.

Supozu, ke vi povas ensaluti en la servilon kaj ke la kliento estas reala profilo, ne skanilo. Ambaŭ supozoj gravas, ĉar ĝenerala sondilo ne povas respondi demandon specifan al la protokolo.

Ĉu la ingo entute ekzistas

Komencu per tio, kion la servo diras pri si mem: ĉu ĝi ekfunkciis kaj, pli utile, kia estis ĝia unua starta eraro. Analiza malsukceso, mankanta ŝlosilo aŭ bind-eraro malhelpas, ke la aŭskultanto iam ekzistu, kaj la procezo povas eliri tiel silente, ke la statuslinio estas duba. Unuo, kiu raportas sin aktiva, ne estas pruvo sola, ĉar la ĉefa procezo povas vivi dum la komponento, kiu devus bindi la pordon, jam rezignis.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

La ingolisto estas la fakto, sur kiu ripozas la resto de la diagnozo. Legu la kolumnon de la loka adreso, ne nur la pordon, ĉar en tiu kolumno aperas loopback-ligoj kaj ligoj al malĝusta interfaco. Aŭskultanto, kiu ekzistas sur 127.0.0.1, funkcias perfekte kaj tamen restas nevidebla por via tekkomputilo.

Sur kiu adreso kaj familio la ingo respondas

Du eraroj aspektas identaj de la klienta flanko kaj klarigas plej multajn raportojn "neatingebla". Servilo ligita al la loopback-adreso neniam akceptas trafikon de alia maŝino, kaj servilo ligita nur al IPv4-adreso neniam respondas al kliento, kiu vokas la IPv6-adreson de la sama gastiganto. Komparu la adreson en la ingotabelo kun la adreso, kiun la kliento efektive vokas, signon post signo, antaŭ ol supozi ion pri politiko.

Limigi la liston al unu pordo tenas ĝin legebla, kiam la gastiganto rulas plurajn servojn. La sport-filtrilo prenas la pordon kune kun la transporto, kiun vi testas:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

La protokol-kolumno ŝanĝas la tutan respondon

La ingotabelo indeksas laŭ protokolo same kiel laŭ pordo, kaj tio estas du sendependaj rikordoj. Servo, kiu respondas TCP sur 1194, diras nenion pri tio, ĉu io aŭskultas sur UDP 1194, kaj la kliento ĉiam uzos nur unu el ili. Konfirmu, kiun transporton la servila agordo elektas kaj kiun la klienta profilo sendas, poste serĉu ĝuste tiun vicon.

UDP havas duan faldaĵon: neaŭtentikigita sondilo ne estas eraro, kiun la servo devas respondi. Skano, kiu raportas la pordon silenta, mezuris la diskretecon de la servo, ne ĝian disponeblecon, do testu per la reala kliento kaj profilo.

Unu provo, tri lokoj por rigardi

El rajtigita kliento faru ĝuste unu provon kaj skribu la tempon ĝis la sekundo. Poste legu tri fontojn por tiu fenestro: la reta regulo aŭ la konzolo de la provizanto, la fajroŝirmilaj nombriloj aŭ la protokolo de la gastiganto, kaj la propra protokolo de la servo. Fari tion unufoje estas tio, kio igas la tri raportojn kompareblaj, kaj ĝi kostas malpli ol ripeti provon, kies tempostampon neniu notis.

La du rezultoj montras en kontraŭajn direktojn. Se neniu pako atingis la gastiganton, la vojo forĵetas ĝin kaj la aŭskultanto estas nereleva. Se la pako atingis la ingon kaj la servo rifuzis ĝin, la vojo estas en ordo kaj la respondo kuŝas en protokolo, kriptografio aŭ legitimiloj. Malfermi pordon por servo, kiu jam akceptis konekton, igas la sekvan diagnozon pli malfacila, ne pli facila.

Nomu la etapon antaŭ ol ŝanĝi regulon

Intertraktado, kiu komenciĝas, kaj aŭtentikigo, kiu malsukcesas, estas unu fiasko, kaj tunelo, kiu establiĝas dum la plusendo haltas, estas tute alia. Nomante la etapon unue, la riparo restas mallarĝa: legitimila problemo ne solviĝas per fajroŝirmila regulo, kaj datenvoja problemo ne solviĝas per restarto.

Uzu la plej mallarĝan diagnozon, kiu respondas la demandon. Portempa pakobservado sur unu pordo, sub la kontrolo de administranto, estas racia instrumento; malŝalti la tutan fajroŝirmilon ne estas, ĉar la rezulto fariĝas neeble atribui. La dokumentaro de ss kovras la filtrilojn uzitajn supre, kaj tio estas pli malmultekosta unua paŝo ol ajna kapto. Notu, kiun el la du branĉoj vi pruvis, kaj la sekva okazo komenciĝas de konata respondo.