Moat jo OpenVPN-klant nobind of in fêst poarte brûke?

Twa profilen dy't yn ien rigel ferskille, drage har oars op it stuit dat in twadde klant op deselde host begjint. Ien hat nobind en nimt hokker lokale poarte de kernel ek jout; de oare reservearret 1194, en it twadde eksimplaar stjert mei in adres dat al yn gebrûk is. Dy rigel beslisset wa't de boarne-poarte kiest, wat wer beslisset oft it profyl mei eat oars op de masine bestean kin. Trije fragen lossen it op, en de earste beänderet de measte profilen foardat jo by de oare twa komme.

Wat nobind eins oerslacht

Standert bûcht de klant in lokale socket foardat er ferbynt, en de lokale poarte is 1194, útsein as it profyl oars seit. nobind hellet dy reservearring fuort, sadat de stapel by it ferbinen in net brûkte poarte tawiisd. It is in útsûndering, net in standert, en in klant sûnder de rigel hâldt 1194, en dêrom krekt botst in net fêstset twadde eksimplaar. De measte levere klantprofilen drage de rjochtline om dy reden, en dat in foarbyldbestân eat docht is net itselde as dat it meganisme it standert docht.

Wat net feroaret, is de fiere kant. De tsjinner harket noch altyd dêr't it profyl seit dat er harket, en de bestimmingspoarte yn de konfiguraasje is noch altyd de bestimmingspoarte. In dynamyske boarne-poarte feroaret it weromadres fan jo eigen socket en neat oan dat fan de tsjinner.

It ferberget ek neat. Jo iepenbiere adres is wat it paad derfan makket, it pakket giet noch altyd troch it lokale netwurk, en wa't dat netwurk beheart sjocht noch altyd in stream. nobind is noch in funksje foar privacy noch in omgong fan de firewall.

Trije betingsten dy't it beslisse

Ien fraach beslisset de oare twa, dus beänderje dy foardat jo eat bewurkje. As de partner nei bûten ferbynt, ferfine de oare fragen allinnich in beslút dat al nommen is. As er ynkommende ferbiningen akseptearret, makket gjin oanpassing fan de lokale poarte him berikber.

Begjint dizze partner de ferbining? As er nei bûten ferbynt, is in dynamyske boarne-poarte ûngefaarlik en meastentiids better, om't it antwurd deselde stream werom folget. As er op ynkommende ferbiningen wachtet, makket in dynamyske poarte him ûnberikber, útsein as eat foar him de poarte publisearret. Dat iene antwurd skiedt elk klantprofyl fan elk tsjinnerprofyl.

Filteret it paad op boarne-poarte? In strange regel skreaun foar ien bekende poarte twingt in eksplisite lokale poarte, en it profyl moat fêstlizze oan hokker regel it foldocht. De measte netwurken filterje allinnich op bestimming, dus dizze betingst is seldsumer as de earste. Dêr't er jildt, giet er boppe de foarkar foar in dynamyske poarte.

Diele ferskate eksimplaren de host? Ien fêste poarte kin twa fan har net betsjinje, en in op 'e nij start eksimplaar kin 1194 noch yn sluting fynt. Dynamyske poarten helje dat konflikt fuort sûnder eat oars te feroarjen. As jo hjir net wis op antwurdzje kinne, nim dan oan dat it ja is en lit de kernel kieze.

Dêr't in fêstsette poarte it goede antwurd is

Guon netwurken filterje sawol op boarne-poarte as op bestimming, dus in operator hat miskien in regel skreaun dy't allinnich ferkear fan ien bekende poarte trochlit. De lokale poarte fêstsette is dan goed, en it profyl moat in kommentaar drage dat de regel neamt oan wa't it foldocht. Fêstsette om symetry mei de tsjinnerpoarte is gjin reden, om't de beide sifers neat mei elkoar te krijen hawwe. As it fêstsetten allinnich bestiet om't in template it hie, smyt it dan fuort.

Oars keapet in fêstsette poarte swierrichheden: twa klanten op ien masine kinne net beiden 1194 hâlde, en de twadde mislearret mei in flater dy't nei de poarte wiist, net nei it profyl. In kontener dy't fluch wer startet, rekket deselde muorre. De repaaraasje is de rjochtline dy't de levere profilen al befette.

Tsjinner en klant binne net symetrysk

hânboek OpenVPN 2.6 set nobind njonken lport, en dat is it argumint yn ien rigel: de iene opsje seit dat de kernel kiest, de oare seit dat jo it dogge. In dynamyske lokale poarte wurket allinnich foar de partner dy't nei bûten ferbynt, om't de antwurdzjende kant de poarte net foarôf witte kin. Dêrom liedt it kopiearjen fan in klantprofyl nei in tsjinner ta in harker dy't nimmen berikke kin.

Op in host mei ferskate netwurkynterfaces is it adres in apart beslút fan de poarte. In beskaat lokaal adres bine en in beskate poarte bine binne twa ferskillende ynstellings, en in tsjinner mei twa opgeande ferbiningen fêstset meastentiids beide. In klant dy't beide fêstset, hat deselde stiifens oannommen sûnder hokker foardiel ek.

De gearfetting giet oer rollen, net oer feiligens: wa't nei bûten ferbynt kin fleksibel wêze oer syn eigen boarne, en wa't antwurdet kin dat net. Gjin fan beide karren feroaret wat de oare kant oer jo identiteit leart. Dêrom komt de rjochtline foar yn klantfoarbylden en hast nea yn tsjinnerfoarbylden.

Kontrolearje de poarte dy't de kernel keas

Lês nei it ferbinen de socket, net de konfiguraasje, om't de konfiguraasje de bedoeling seit en de socket wat der barde. De feiten dy't it fêstlizzen wurdich binne, binne de lokale poarte, it fiere einpunt en oft der noch eat harket. Op in Linux-host binne alle trije ien opdracht fuort.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

In klant mei nobind lit in hege lokale poarte en de konfigurearre fiere poarte sjen, dat is de ferwachte foarm. In tsjinner lit in harkende socket op syn konfigurearre poarte sjen, en as dy socket ûntbrekt, is it profyl óf gjin harker óf it koe him net bine. As der in stream is mar der komme gjin pakketten werom, fergelykje dan de keazen boarne-poarte mei elke poartefilter op it paad foardat jo it profyl bewurkje. Feroarje ien ding, ferbynje op 'e nij en lês de socket wer.