OpenVPN AF_INET hoiatus: ohutu varulahendus või ebaõnnestunud socket?

Kaks OpenVPN logirida algavad samade sõnadega ja ainult üks neist teatab probleemist. Could not determine IPv4/IPv6 protocol. Using AF_INET on varulahenduse teade: profiil jättis aadressipere avatuks, seega daemon valis ühe ja jätkas. Vea haru teatab, et socketit ei loodud, ja palub taaskäivitust. Kõik pärast ühist eesliidet eristab neid, seega lugege sellest kaugemale, enne kui midagi muudate.

Mida varulahenduse teade teatab

OpenVPN võtab vastu selgesõnalise pere proto udp4 või proto udp6 kaudu ning võtab vastu proto udp, kui pere tuleb käivitamisel tuletada. Teisel juhul uurib daemon kohalikku sidumisteavet ja valib.

Kui see tuletamine töötab, ütleb hoiatus, mis suunas mindi, ja protsess jätkab socketi loomist. Kahe virnaga hostil asuv server satub proto udp korral sageli just nii IPv4 peale. Sellel teel ei ole miski viga ja miski selles ei viita rünnakule, puuduvale veebiserverile ega tagasilükatud kontole. Rida on kasulik ainult seetõttu, et hilisemaid kontrolle tuleks võrrelda perega, mille see nimetab.

Käsitlege seda vastusena ühele küsimusele, mitte diagnoosina. See ütleb, millise pere see protsess valis, ja mitte midagi selle kohta, miks klient ei saa ühendust luua.

Kuidas vea haru välja näeb

Hiljem samas socketi koodis on haru, kus socketit ei ole üldse olemas. See logib lühema aadressipere teate ja palub taaskäivitust, sest jätkamiseks ei ole midagi järel. Avasõnad kattuvad varulahendusega; tulemus mitte.

Eristage neid selle järgi, mis järgneb. Kui daemon jätkab tööd ja teatab oma kuulajast, oli rida informatsioon. Kui see väljub või taaskäivitub tsüklis, käib jutt nüüd sidumisest.

Ka grep-tabamus ei ole haru tuvastamine. Väljend ilmub pööratud kokkuvõtetes, murtud ridades ja logikatkendites, mida inimesed teise käe pealt kleepivad, seega lugege naaberridu ja ajatemplite järjekorda, mitte üksikut vastet.

Kontrollige kuulajat, mitte hoiatust

Töötav server vastab pere küsimusele otse, ilma logitekstist järeldusi tegemata.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Sobitage pere, aadress ja port profiiliga. Rida 0.0.0.0:1194 on ainult IPv4, samas kui rida [::]:1194 kahe virnaga hostil võib sõltuvalt seadest bindv6only vastu võtta mõlemat pere. Kui profiil ütleb udp ja socket on IPv4, siis kliendid, mille resolver tagastab ainult AAAA-kirje, ebaõnnestuvad enne, kui tunnel üldse läbi räägitakse.

Seejärel testige kliendist, mis sarnaneb teie kasutajatega: sama resolveri tee, sama tüüpi võrk. Kohalik ühendus serverist tõestab väga vähe liikluse kohta, mis läbib NAT-seadet või teise pere jaoks kirjutatud tulemüürireeglit.

Millal on pere sundimine õige

proto udp4 kinnitamine sobib ainult-IPv4 juurutusele: ainult A-kirjega DNS-nimi, tulemüürireeglid ühe v4-aadressi jaoks, kliendid operaatorite taga, kes annavad ainult v4-aadresse. See kõrvaldab mitmetähenduslikkuse ja muudab järgmise logiridade komplekti etteaimatavaks.

Sama argument toimib vastupidi IPv6-eelistusega keskkonnas, ja udp6 ainult A-kliendibaasi ees on ise tekitatud katkestus. Pere sundimine ainult ohutu hoiatuse vaigistamiseks on selle vea klassikaline versioon, sest olete muutnud, kes saab ühendust luua, vaiksema logi vastu.

Valige otspunktide ja nendeni jõudma pidavate klientide järgi. OpenVPN 2.6 käsiraamat dokumenteerib transpordivormid ning teade on selle valiku tulemus, mitte selle sisend.

Hoidke kanne kitsas

Kirjutage üles täpne rida koos ajatempliga, töötava profiili tegelik transpordiseade, socket nii, nagu kerneli seda teatab, ja järgmine etapp, mis ebaõnnestus. Need neli asja lahendavad peaaegu iga küsimuse, mille teade tõstatab, ja ükski neist ei nõua oletusi kõrvaliste teenuste kohta. Need peavad vastu ka üleandmisele, mida grep'i ekraanipilt ei tee.

Selle hoiatuse kõrval saabuvad paketisoovitused on kõrvalised, kuni viga nimetab puuduva käivitatava faili.

Kui ifconfig tõesti puudub, ütleb daemon seda nimepidi, kui skript selle välja kutsub, ja see väärib eraldi uurimist. AF_INET-rida ja puuduv utiliit on erinevad vead, ning asjade paigaldamine, et näha, kas hoiatus muutub, on viis, kuidas puhas host muutub korratuks.