Kas teie OpenVPN-klients peaks kasutama nobindi või fikseeritud porti?

Kaks profiili, mis erinevad ühe rea võrra, käituvad erinevalt hetkel, mil samal hostil käivitub teine klient. Üks kannab nobind ja võtab mis tahes kohaliku pordi, mille kernel annab; teine reserveerib 1194 ja teine eksemplar sureb juba kasutusel oleva aadressiga. See rida otsustab, kes valib lähtepordi, mis omakorda otsustab, kas profiil saab masinas millegi muuga koos eksisteerida. Kolm küsimust seda lahendavad ja esimene vastab enamikule profiilidele, enne kui jõuate kahe teise juurde.

Mida nobind tegelikult vahele jätab

Vaikimisi seob klient enne väljahelistamist kohaliku sokli ja kohalik port on 1194, kui profiil ei ütle teisiti. nobind eemaldab selle reserveeringu, nii et pinu eraldab ühenduse hetkel kasutamata pordi. See on erand, mitte vaikeväärtus, ja ilma reata klient hoiab 1194, mistõttu kinnitamata teine eksemplar täpselt põrkubki. Enamik tarnitud kliendiprofiile kannab direktiivi just sel põhjusel, ja see, et näidisfail midagi teeb, ei ole sama, mis mehhanismi vaikimisi käitumine.

See, mis ei muutu, on kaugem pool. Server kuulab endiselt seal, kus profiil ütleb, et ta kuulab, ja konfiguratsiooni sihtport on endiselt sihtport. Dünaamiline lähtepord muudab teie enda sokli tagastusaadressi ja mitte midagi serveri omast.

Samuti ei varja see midagi. Teie avalik aadress on see, milleks tee selle tõlgib, pakett läbib endiselt kohaliku võrgu ja kes seda võrku haldab, näeb endiselt voogu. nobind ei ole ei privaatsustunnus ega tulemüüri möödasõit.

Kolm tingimust, mis seda otsustavad

Üks küsimus otsustab kaks ülejäänut, seega vastake sellele enne millegi muutmist. Kui partner helistab välja, täpsustavad ülejäänud küsimused vaid juba tehtud otsust. Kui ta võtab vastu sissetulevaid ühendusi, ei tee ükski kohaliku pordi seadistus teda kättesaadavaks.

Kas see partner algatab ühenduse? Kui ta helistab välja, on dünaamiline lähtepord kahjutu ja tavaliselt eelistatav, sest vastus järgib sama voogu tagasi. Kui ta ootab sissetulevaid ühendusi, muudab dünaamiline port ta kättesaamatuks, kui miski ees porti ei avalda. See üks vastus eraldab iga kliendiprofiili igast serveriprofiilist.

Kas tee filtreerib lähtepordi järgi? Ühe tuntud pordi jaoks kirjutatud range reegel nõuab selgesõnalist kohalikku porti ja profiil peaks märkima, millist reeglit see täidab. Enamik võrke filtreerib ainult sihtkoha järgi, seega on see tingimus haruldasem kui esimene. Kus see kehtib, tühistab see eelistuse dünaamilisele pordile.

Kas mitu eksemplari jagavad hosti? Üks fikseeritud port ei saa teenindada kahte neist ja taaskäivitatud eksemplar võib leida 1194 veel sulgemisolekus. Dünaamilised pordid kõrvaldavad selle konflikti ilma midagi muud muutmata. Kui te ei suuda sellele kindlalt vastata, eeldage jah ja laske kernelil valida.

Kus kinnitatud port on õige vastus

Mõned võrgud filtreerivad lisaks sihtkohale ka lähtepordi järgi, seega võib operaator olla kirjutanud reegli, mis laseb läbi liiklust ainult ühest tuntud pordist. Kohaliku pordi kinnitamine on siis õige ja profiil peaks kandma kommentaari, mis nimetab reegli, mida see täidab. Kinnitamine serveripordiga sümmeetria huvides ei ole põhjus, sest neil kahel arvul pole teineteisega midagi ühist. Kui kinnitus eksisteerib ainult seetõttu, et mallil see oli, kustutage see.

Muidu ostab kinnitatud port probleeme: kaks klienti ühel masinal ei saa mõlemad hoida 1194 ja teine nurjub veaga, mis osutab pordile, mitte profiilile. Kiiresti taaskäivituv konteiner põrkab sama seina vastu. Parandus on direktiiv, mille tarnitud profiilid juba sisaldasid.

Server ja klient ei ole sümmeetrilised

OpenVPN 2.6 käsiraamat asetab nobind kõrvale lport, mis on argument ühes reas: üks valik ütleb, et valib kernel, teine ütleb, et valite teie. Dünaamiline kohalik port töötab ainult partneri jaoks, kes välja helistab, sest vastav pool ei saa porti ette teada. Sellepärast loob kliendiprofiili kopeerimine serverisse kuulaja, kelleni keegi ei pääse.

Mitme võrguliidesega hostil on aadress pordist eraldi otsus. Konkreetse kohaliku aadressi sidumine ja konkreetse pordi sidumine on kaks eri seadet ning kahe üleslingiga server kinnitab tavaliselt mõlemad. Klient, kes kinnitab mõlemad, on võtnud sama jäikuse ilma igasuguse kasuta.

Kokkuvõte on rollide, mitte turvalisuse kohta: kes välja helistab, saab oma lähte osas paindlik olla, ja kes vastab, ei saa. Kumbki valik ei muuda seda, mida teine pool teie identiteedi kohta teada saab. Sellepärast esineb direktiiv kliendinäidetes ja peaaegu kunagi serverinäidetes.

Kontrollige porti, mille kernel valis

Pärast ühendamist lugege soklit, mitte konfiguratsiooni, sest konfiguratsioon väljendab kavatsust ja socket seda, mis juhtus. Faktid, mida tasub kirja panna, on kohalik port, kaugots ja see, kas midagi veel kuulab. Linuxi hostil on kõik kolm ühe käsu kaugusel.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Klient koos nobind näitab kõrget kohalikku porti ja konfigureeritud kaugporti, mis on oodatud kuju. Server näitab kuulavat soklit oma konfigureeritud pordil ja kui see socket puudub, ei ole profiil kas kuulaja või ei suutnud siduda. Kui voog on olemas, aga pakette tagasi ei tule, võrrelge valitud lähtepordi tee mis tahes pordifiltriga enne profiili muutmist. Muutke ühte asja, ühenduge uuesti ja lugege socketit uuesti.