OpenVPN op poarte 53: trije petearen dy't minsken trochinoar helje
It opfreegjen fan it einpunt, it fersifere ferfier en DNS nei de tunnel binne trije petearen. Sjoch earst hokker stap mislearre is foardat jo in poarte of in resolver feroarje.
Rapporten dy't sizze dat de VPN op poarte 53 blokkearre is, mingje trije waarnimmen dy't om ferskillende redenen mislearje. It opfreegjen fan 'e einpuntnamme bart foardat der in tunnel bestiet, it fersifere ferfier is in apart petear, en de DNS-fragen dy't dêrnei dien wurde binne in tredde. Elk hat syn eigen mislearringssignatuer, en mar ien fan har giet oer DNS.
Sortearje de pakketten nei doel foardat jo wat feroarje, want de oplossing folget de stap.
Trije petearen, ien poartenûmer
It earste petear is in namme-opfraach foar it einpunt: jo masine freget syn konfigurearre resolver wêr't vpn.example.com is, en dat antwurd komt oer gewoane DNS foardat de klient ien tunnelpakket stjoert. It twadde is it OpenVPN-ferfier sels, dat ferbynt mei it adres dat de opfraach opsmiet, op hokker protokoll en poarte it profyl ek neamt. It tredde bart nei't de tunnel oprjochte is, as applikaasjes nei nammen freegje en de trochstjoerde resolver-ynstellingen beslute wa't antwurdzje.
Dy trije kinne los faninoar slagje of mislearje. In klient kin syn einpunt perfekt opfreegje en dochs de listener net berikke, en hy kin in tunnel oprjochtsje wylst elke ynterne namme-opfraach mislearret om't de DNS-ynstellingen nea oankamen.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Lês de tabel as in checklist, net as in beskriuwing. As de einpuntnamme net oplost, kin neat letter wurkje en begjint de tunnel nea.
It poartenûmer neamt net de applikaasje
Poarte 53 draacht DNS by konvinsje, en in OpenVPN-behearder kin dêr ek in listener publisearje, en dêrom is it nûmer in minne oantsjutting. In OpenVPN-sesje op UDP 53 is noch altyd in OpenVPN-sesje, en in DNS-fraach oan in server op poarte 53 seit neat oer de fraach oft in tunnel tastien is. De regels proto en remote fan it profyl definiearje it bûtenste einpunt; it poartenûmer definiearret sels neat.
Dat snijt beide kanten op by it diagnostisearjen: in generike UDP-probe nei poarte 53 bewiist dat in poarte antwurdet, net dat de VPN-tsjinst antwurdet. Test mei de echte klient en it echte profyl, want allinnich dat beproeft de handshake dy't de tsjinst ferwachtet.
Bewiisje de listener ear't jo it netwurk de skuld jouwe
Kontrolearje op 'e server wat bûn is mei ss -lunp | grep 53 en fergelykje dat mei it protokoll en de poarte fan it profyl. Rin fan it netwurk fan 'e klient de klient mei hegere ferboazensgraad, sadat it log sjen lit hokker adres en ferfier besocht waarden. As de server harket en de pakketten fan 'e klient komme net oan, dan wegerje it paad of it belied se, en dat is in petear foar de netwurkbehearder, net in reden om fan poarte te feroarjen.
In oare poarte helpt allinnich as de tsjinst dêr echt harket en de útrulling it talit. In listener ferpleatse om it filterjen fan in beheard netwurk te ûntwykjen is in beliedsbeslissing, gjin diagnoaze-stap. Freegje de netwurkbehearder wat tastien is foardat jo de tsjinst feroarje, want in omwei dy't belied skeint wurdt letter dochs tichtset. Skriuw dat antwurd njonken it profyl, sadat de folgjende persoan it fersyk net werhellet.
Kontrolearje DNS efter de tunnel, apart
As de tunnel ienris oprjochte is, besjoch de resolver-steat op 'e VPN-interface en freegje ien ynterne namme en ien iepenbiere namme op. As ynterne nammen mislearje wylst de tunnel ferkear draacht, binne de trochstjoerde DNS-ynstellingen net tapast, en dat is in fraach oer klientyntegraasje, net oer ferfier. As iepenbiere nammen mislearje en ynterne nammen wurkje, docht it split-tunnelbelied krekt wat it waard konfigurearre om te dwaan.
Hâld DNS-feroarings by de resolver-eigner. In beheard resolver-konfiguraasje oerskriuwe om ien test te heljen kin private nammen foar al it oare op 'e masine brekke. As de tunnel in resolver trochstjoert en de klient negearret dy, reparearje dan de klientyntegraasje ynstee fan earne oars in statysk item ta te foegjen. Statyske items ferbergje it mislearjen oant immen fan netwurk feroaret. Skriuw op hokker resolver ferwachte wurdt elke nammeromte te beantwurdzjen.