Zure OpenVPN bezeroak nobind edo portu finkoa erabili behar du?

Lerro bakarrean desberdintzen diren bi profilek modu desberdinean jokatzen dute bigarren bezero bat host berean hasten den unean. Batek nobind darama eta kernelak ematen dion edozein tokiko portu hartzen du; besteak 1194 erreserbatzen du, eta bigarren instantzia jada erabiltzen ari den helbide batekin hiltzen da. Lerro horrek erabakitzen du nork aukeratzen duen iturri-portua, eta horrek, era berean, profileak makinako beste edozerrekin batera egon daitekeen. Hiru galderak konpontzen dute, eta lehenak profile gehienei erantzuten die beste bietara iritsi aurretik.

Zer uzten du nobind-ek benetan

Lehenespenez bezeroak tokiko socket bat lotzen du kanpora deitu aurretik, eta tokiko portua 1194 da profileak beste ezer esaten ez badu. nobind erreserba hori kentzen du, beraz pilak erabili gabeko portu bat esleitzen du konexio unean. Salbuespena da, ez lehenetsia, eta lerroa ez duen bezeroak 1194 eusten du, eta horixe da finkatu gabeko bigarren instantzia batek talka egiten duen arrazoia. Banatutako bezero-profile gehienek direktiba daramate arrazoi horregatik, eta fitxategi batek zerbait egitea ez da gauza bera mekanismoak lehenespenez egitearekin.

Aldatzen ez dena urruneko aldea da. Zerbitzariak oraindik entzuten du profileak entzuten duela dioen tokian, eta konfigurazioko helburu-portua oraindik helburu-portua da. Iturri-portu dinamikoak zure socketaren itzulera-helbidea aldatzen du eta zerbitzariarena ez du ezer aldatzen.

Ez du ezer ezkutatzen ere. Zure helbide publikoa bideak itzultzen duena da, paketeak tokiko sarea zeharkatzen du oraindik, eta sare hori kudeatzen duenak oraindik fluxu bat ikusten du. nobind ez da pribatutasun-ezaugarria ez eta suebakiaren saihesbidea ere.

Hori erabakitzen duten hiru baldintza

Galdera batek beste biak erabakitzen ditu, beraz erantzun ezazu ezer editatu aurretik. Pareak kanpora deitzen badu, gainerako galderak jada hartutako erabaki bat findu besterik ez dute egiten. Sarrerako konexioak onartzen baditu, tokiko portuaren doikuntza orok ez du irisgarri egiten.

Pare honek hasten du konexioa? Kanpora deitzen badu, iturri-portu dinamikoa kaltegabea da eta normalean hobea, erantzunak fluxu berari jarraitzen diolako. Sarrerako konexioen zain badago, portu dinamiko batek ez-irisgarri egiten du, aurretik zerbait portua argitaratzen ez badu. Erantzun bakar horrek bezero-profile bakoitza zerbitzari-profile bakoitzetik bereizten du.

Bideak iturri-portuaren arabera iragazten du? Portu ezagun baterako idatzitako arau zorrotz batek tokiko portu esplizitua behartzen du, eta profileak zein arau betetzen duen erregistratu behar du. Sare gehienek helmugaren arabera bakarrik iragazten dute, beraz baldintza hori lehena baino arraroagoa da. Aplikatzen den tokian, portu dinamikoaren hobespena gainditzen du.

Instantzia batzuek hosta partekatzen dute? Portu finko bakar batek ezin die bi instantziei zerbitzatu, eta berrabiarazitako instantzia batek 1194 aurki dezake oraindik ixten ari den egoeran. Portu dinamikoek gatazka hori kentzen dute beste ezer aldatu gabe. Hau ziurtasunez erantzun ezin baduzu, suposa ezazu bai eta utzi kernelari aukeratzen.

Non portu finkatua den erantzun zuzena

Sare batzuek iturri-portuaren arabera eta helmugaren arabera iragazten dute, beraz operadore batek portu ezagun batetik bakarrik igarotzen duen araua idatz dezake. Tokiko portua finkatzea zuzena da orduan, eta profileak betetzen duen araua izendatzen duen iruzkin bat eraman behar du. Zerbitzariaren portuarekin simetria lortzeko finkatzea ez da arrazoia, bi zenbakiek elkarrekin zerikusirik ez dutelako. Finkapena txantiloian zegoelako soilik badago, ezabatu ezazu.

Bestela portu finkatu batek arazoak erosten ditu: makina batean bi bezerok ezin dute 1194 eusten, eta bigarrenak huts egiten du portua seinalatzen duen errore batekin, profilea ez baina. Azkar berrabiarazten den edukiontzi batek horma berarekin egiten du talka. Konponketa banatutako profileek jada zuten direktiba da.

Zerbitzaria eta bezeroa ez dira simetrikoak

OpenVPN 2.6 eskuliburua jartzen du nobind ondoan lport, eta hori da argudioa lerro bakarrean: aukera batek kernelak aukeratzen duela dio, besteak zuk aukeratzen duzula. Tokiko portu dinamikoa kanpora deitzen duen parearentzat bakarrik dabil, erantzuten duen aldeak ezin baitu portua aurretik jakin. Horregatik bezero-profile bat zerbitzari batera kopiatzeak inork iritsi ezin duen entzule bat sortzen du.

Sare-interfaze anitzeko host batean helbidea portutik bereizitako erabakia da. Tokiko helbide jakin bat lotzea eta portu jakin bat lotzea bi ezarpen desberdin dira, eta bi igotze-estekadun zerbitzari batek normalean biak finkatzen ditu. Biak finkatzen dituen bezeroak zurruntasun bera hartu du inolako onurarik gabe.

Laburpena rolei buruzkoa da, ez segurtasunari: kanpora deitzen duenak malgua izan daiteke bere iturriari dagokionez, eta erantzuten duenak ezin du. Bi aukeretatik batek ere ez du aldatzen beste muturrak zure identitateari buruz ikasten duena. Horregatik agertzen da direktiba bezero-adibideetan eta ia inoiz ez zerbitzari-adibideetan.

Egiaztatu kernelak aukeratu zuen portua

Konektatu ondoren, irakurri socketa, ez konfigurazioa, konfigurazioak asmoa adierazten baitu eta socketak gertatu zena. Erregistratzea merezi duten datuak tokiko portua, urruneko muturra eta oraindik zerbait entzuten ari den dira. Linux host batean hirurak komando bakar batera daude.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Bezero batek nobind erabilita, tokiko portu altua eta konfiguratutako urruneko portua erakusten ditu, eta hori da espero den forma. Zerbitzari batek entzuten ari den socket bat erakusten du bere konfiguratutako portuan, eta socket hori falta bada, profilea ez da entzule edo ezin izan du lotu. Fluxua badago baina paketerik ez bada itzultzen, konparatu aukeratutako iturri-portua bideko edozein portu-iragazkirekin profilea editatu aurretik. Aldatu gauza bat, konektatu berriro eta irakurri socketa berriro.