Zergatik irteten duen OpenVPN-en UDP erantzunak helbide okerretik

OpenVPN bezero batek helbide bat deitzen du, zerbitzariak beste batetik erantzuten du, eta tunela ez da inoiz altxatzen. Zerbitzariaren erregistroak paketea iristen dela erakusten du eta kaptura batek erantzun bat irteten dela, beraz, hutsa bezeroari egozten zaio. Interfaze bat baino gehiago dituen ostalarian, edo interfaze batean helbide bat baino gehiago dituenean, bi aldeek ez dute bat egiten zein helbide erabiltzen ari den. Erantzuna baliozkoa da IP mailan, baina bezero askok baztertu egiten dute kontaktatu zuten helbidea jatorri ez duen datagrama bat.

Zer ikusten duen bezeroak jatorria aldatzen denean

Helbide lokal zehatz batera lotuta ez dagoen UDP socket batek ez du jatorri finkorik, beraz kernela batek aukeratzen du bidaltzeko unean. Aukera hori bezeroaren helbiderako bide-bilaketa batetik dator, eta jatorria bilaketak hautatzen duen interfazearen helbidea bihurtzen da. Interfaze bakarreko makina batean aukera ikusezina da; kudeaketa-helbide bat, helbide publiko bat eta txartel bereko helbide sekundario bat dituen ostalarian, berriz, bide-metriken eta politikaren araberakoa da. Politikan oinarritutako bideratzeak desadostasuna areagotu egiten du, gutxitu beharrean, arau batek bezeroak inoiz iritsi ez zuen goiko esteka bat hauta baitezake. Hornitzaile batetik ikasitako bide lehenetsi bat eta beste batera seinalatzen duen jatorri-arau bat nahikoa dira hori sortzeko.

Erantzunak iragazten dituzten bezeroek, eta laukote zehatza eta jatorria espero dituen konexio-jarraitzeak, erantzuna botako dute mezu erabilgarririk gabe. Orduan tunelak denbora agortzen du ezer iritsi ez balitz bezala, eta horregatik nahasten da hau bezeroaren aldeko suebaki arazo batekin. Zerbitzarian soilik egindako kaptura batek akatsa berresten du, azaldu beharrean, erantzuna benetan irteten delako. Alderatu erantzunaren jatorria bezeroak deitu zuen helbidearekin beste ezer aldatu aurretik.

Zer egiten duen multihome aukerak benetan

Direktiba multihome gisa idazten da konfigurazio-fitxategi batean eta --multihome gisa komando-lerroan, eta UDP zerbitzari batek bezeroaren paketea iritsi zen helbidetik erantzun dezan egiten du. Kernelak jatorrizko helburu-helbidea datu gehigarri gisa ematen du jasotzean, eta OpenVPNek balio hori erabiltzen du erantzunaren jatorri gisa. Horrela, komodin helbide batean entzuten duen zerbitzari batek, IPv4rako local 0.0.0.0 edo haren IPv6 baliokidea, bezero bakoitza entzule esklusibo batera iritsi balitz bezala jokatzen du. Helbide publikotik sartu ziren bezeroek helbide publikotik jasotzen dituzte erantzunak, eta barne-helbide batean dauden bezeroek hortik. Paketearen bidean ez da beste ezer mugitzen: bidea, iragazki-arauak eta tunelaren konfigurazioa zeuden bezala geratzen dira.

Azken propietate hori da aukera bestela funtzionatzen duen zerbitzari batera gehitzea segurua izateko arrazoia, eta helbide bakarra baimentzen duen iragazki bat konpondu ezin izateko arrazoia ere bai. Paketea oraindik hartu behar da egiten duen bidean, beraz jatorriaren zuzenketak erantzunaren jatorria aldatzen du eta ez besterik. Gainera, UDPrako soilik da: TCP entzule batek ez du arazo hau forma berean, konexioa laukotearen bidez identifikatzen baita, ez erantzunaren jatorri-helbidearen bidez.

Noiz den helbide lokal finkoa lehenespen okerra

Aukeraren bila joan aurretik, egiaztatu zerbitzariak helbide lokal zehatz bat lotzen duen, lotutako entzule batek beti helbide horretatik erantzuten baitu. Hori zuzena da interfaze bakarreko inplementazio baterako, eta okerra bezeroek legez helbide bat baino gehiago erabiltzen duten unetik. Lotura nahita egin bazen, erabaki zerbitzariak helbide gehigarrietan trafikoa onartu behar duen ala ez. Lotura kentzeak esposizioa handitzen du, beraz, baimendutako interfazeak eta jatorrizko sareak zerbitzuak eta iragazkiak ezarri behar dituzte, ez lotura-helbideak bakarrik.

OpenVPN erreferentzia aukera UDP zerbitzarietara mugatzen du, paketearen bidean gehitzeko prozesamendua aipatzen du, eta zein plataformak onartzen duten erregistratzen du. Egiaztatu hori instalatutako bertsioan, horren inguruan planifikatu aurretik. Onartzen ez den lekuetan, helbide zehatza lotzea edo itzulera-bidea konpontzea da alternatiba, eta biak lehen begiratuan diruditenak baino aldaketa estuagoak dira. Komodinetik entzuteak erantzunetatik haragoko ondorioak ere baditu: helbide guztietan dagoen zerbitzari bat ostalaria konektatuta dagoen sare guztietatik irisgarria da, eta agian ez da inork asmo zuen esposizioa.

Frogatu erantzunaren jatorria kanpotik

Probatu zerbitzaritik kanpo, eta erregistratu bezeroak erabili zuen helbide eta garraio zehatza ezer kapturatu aurretik. Beheko hiru frogek hiru galdera desberdini erantzuten diete, eta ordenak garrantzia du.

tcpdump -ni any udp port 1194
ss -lunp 'sport = :1194'
ip route get 203.0.113.10 from 198.51.100.20

Kapturak erantzunean jatorri-helbidea erakusten du, eta horretan oinarritzen da artikulu osoa. Socket zerrendak zerbitzariak benetan zer lotu zuen erakusten du, komodin entzule bat eta entzule zehatz bat berdinak diruditelako konfigurazio-fitxategi batean eta desberdin jokatzen dutelako sarean. Bide-bilaketak kernelak fluxu horretarako hautatuko lukeen jatorria erakusten du, eta horrek kaptura azaltzen du ezer aldatu aurretik. Errepikatu hirurak IPv4 eta IPv6rako bereizita, entzule bereiziak eta bilaketa bereiziak direlako, eta familia batentzako komodin sarrera batek ez du ezer esaten besteaz.

Bideratzea, aurkikuntza eta iragazketa bereizita mantentzen dira

Erantzunaren jatorria gordetzeak ez du irteerako biderik instalatzen, ez du DNS dinamikoa eguneratzen, eta ez du helbide-familia bat besteak onar dezan egiten. Goiko esteka bat baino gehiago dituen zerbitzari batean, jatorri bakoitzeko itzulera-bidea nahita adostu behar da, bestela erantzunak bezeroaren iragazkiak inoiz baimendu ez zuen interfaze batetik irteten dira. Era berean, aurrizkia aldatu ondorengo helbide berri bat bezeroengana iritsi behar da aurkikuntzaren eta onartutako berriz konektatzeko fluxuaren bidez, erregistro zahararen bidez beharrean.

Utzi zerbitzariaren identitate-egiaztapenak eta ziurtagirien egiaztatzea dauden bezala, helbide aldatu batek ez baitu justifikatzen egiaztatu gabeko kidea onartzea. Erantzuna orain aurreikusitako jatorritik irteten bada eta tunelak oraindik huts egiten badu, jo ezazu jatorriaren arazoa konpondutzat eta jarraitu aurrera. Hurrengo hautemandako akatsa bideratzearena, iragazketarena edo autentifikazioarena da, eta entzulea berriz aldatzeak ez du hura iritsiko. Idatzi erantzunaren jatorria tiketean bezeroak deitu zuen helbidearen ondoan, hurrengo pertsonak gertaera bera komando bakar batekin egiaztatu dezan.