OpenVPN AF_INET-warskôging: ûnskatlike weromfal of mislearre socket?

Twa OpenVPN-logrigels begjinne mei deselde wurden, en mar ien fan beide meldt in probleem. Could not determine IPv4/IPv6 protocol. Using AF_INET is in weromfalberjocht: it profyl liet de adresfamylje iepen, sadat de daemon ien keas en trochgie. De flaterskûte meldt dat der gjin socket oanmakke is en freget om in werstart. Alles nei it mienskiplike foarheaksel skiedt se, lês dus fierder foardat jo eat feroarje.

Wat it weromfalberjocht meldt

OpenVPN akseptearret in eksplisite famylje fia proto udp4 of proto udp6, en akseptearret proto udp as de famylje by it opstarten ôflaat wurde moat. Yn it twadde gefal besjocht de daemon de lokale bind-ynformaasje en kiest.

As dy ôflieding wurket, seit de warskôging hokker kant it op gie en it proses giet troch mei it oanmeitsjen fan de socket. In server mei proto udp op in dûbelsteapel-host bedarret sa gauris op IPv4. Neat op dat paad is in flater, en neat deryn wiist op in oanfal, in ûntbrekkende webserver of in wegere akkount. De rigel is allinnich handich om't lettere kontrôles ferlike wurde moatte mei de famylje dy't er neamt.

Behannelje it as in antwurd op ien fraach, net as in diagnoaze. It seit hokker famylje dit proses keas, en hielendal neat oer wêrom't in kliïnt gjin ferbining meitsje kin.

Hoe't de flaterskûte der útsjocht

Letter yn deselde socket-koade is der in skûte wêr't hielendal gjin socket bestiet. It skriuwt it koartere adresfamylje-berjocht en freget om in werstart, want der is neat mear om mei troch te gean. De iepeningswurden komme oerien mei de weromfal; it resultaat net.

Untskiede se oan wat folget. As de daemon trochrint en syn listener meldt, wie de rigel ynformaasje. As er útgiet of yn in lus werstart, giet it petear no oer de bind.

In grep-treffer is ek gjin skûte-identifikaasje. De útdrukking komt foar yn rotearre gearfettingen, yn ôfbrutsen rigels en yn logfragminten dy't minsken fan twadde hân plakke, lês dus de neistlizzende rigels en de folchoarder fan de tiidstimpels ynstee fan de iene treffer.

Kontrolearje de listener ynstee fan de warskôging

In draaiende server beantwurdet de famyljefraach direkt, sûnder ôflieding út 'e logtekst.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Meitsje de famylje, it adres en de poarte lyk mei it profyl. In 0.0.0.0:1194-rigel is allinnich IPv4, wylst in [::]:1194-rigel op in dûbelsteapel-host beide famyljes akseptearje kin ôfhinklik fan de bindv6only-ynstelling. As it profyl udp seit en de socket is IPv4, sille kliïnten waans resolver allinnich in AAAA-rekord weromjout mislearje foardat de tunnel ea ûnderhannele wurdt.

Testje dan fan in kliïnt dy't op jo brûkers liket: itselde resolverpaad, itselde soarte netwurk. In lokale ferbining fan de server bewiist mar hiel lyts bytsje oer ferkear dat in NAT-apparaat of in firewallregel skreaun foar de oare famylje passearret.

Wannear't it twingen fan in famylje goed is

It fêstsetten fan proto udp4 past by in allinnich-IPv4-ynset: in DNS-namme allinnich A, firewallregels foar ien v4-adres, kliïnten efter operators dy't allinnich v4-adressen jouwe. It hellet ûndúdlikens fuort en makket de folgjende set logrigels foarsisber.

Itselde argumint wurket oarsom foar in omjouwing mei IPv6 earst, en udp6 foar in kliïntbasis allinnich A is in sels feroarsake ûnderbrekking. In famylje twinge allinnich om in ûnskatlike warskôging stil te meitsjen is de klassike ferzje fan dizze flater, want jo hawwe feroare wa't ferbine kin yn ruil foar in rêstiger log.

Kies op grûn fan de einpunten en de kliïnten dy't se berikke moatte. It OpenVPN 2.6-hânboek dokumintearret de ferfiersfoarmen, en it berjocht is de útfier fan dy kar, net in ynfier.

Hâld de registraasje smel

Skriuw de krekte rigel op mei syn tiidstimpel, de effektive ferfiersynstelling út it draaiende profyl, de socket sa't de kernel dy meldt, en de folgjende etappe dy't mislearre. Dy fjouwer punten besljochtsje hast elke fraach dy't it berjocht oppenearret, en gjinien fan harren freget om te rieden oer ûnferbûne tsjinsten. Se oerlibje ek in oerdracht, wat in skermprint fan in grep net docht.

Pakketfoarstellen dy't mei dizze warskôging meininke, binne ûnferbûn oant in flater in ûntbrekkend útfierber bestân neamt.

As ifconfig wier ûntbrekt, seit de daemon dat by namme as in skript it oanropt, en dat fertsjinnet syn eigen ûndersyk. De AF_INET-rigel en in ûntbrekkend helpmiddel binne ferskillende flaters, en dingen ynstallearje om te sjen oft de warskôging feroaret is hoe't in skjinne host in rommelige wurdt.