VPN-poarte stil? Lústerder, bindadres of host-firewall

De VPN antwurdet neat op syn poarte, en de twa mooglike oarsaken freegje tsjinoerstelde reparaasjes: óf gjin proses hat de socket iepene, óf de socket bestiet en eat tusken de masines stopet de pakketten. Ien kommando beslist de earste helte fan dy fraach, dêrom komt it foar elke firewall-regel. De folchoarder hjirûnder hellet ien ferklearring per stap fuort ynstee fan noch in oanname ta te foegjen. Krekt it rieden tusken de twa makket fan in diagnoaze fan tsien minuten in hiele jûn.

Nim oan dat jo by de tsjinner ynlogge kinne en dat de klant in echte profyl is en gjin skanner. Beide oannames binne wichtich, want in algemiene probe kin in protokolspesifike fraach net beäntwurdzje.

Bestiet de socket wol

Begjin mei wat de tsjinst oer himsels seit: oft er omheech kaam en, nuttiger, wat syn earste startflater wie. In parse-flater, in ûntbrekkende kaai of in bind-flater foarkomt dat de lústerder ea bestiet, en it proses kin sa stil ôfslute dat in statusrigel dûbelsinnich lêzen wurdt. In ienheid dy't him aktyf neamt is op himsels gjin bewiis, want it haadproses kin libje wylst de komponint dy't de poarte bine moast al opjûn hat.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

De socket-list is it feit dêr't de rest fan de diagnoaze op rêstet. Lês de kolom fan it lokale adres ynstee fan allinnich de poarte, want yn dy kolom binne loopback-binen en ferkearde-interface-binen te sjen. In lústerder dy't op 127.0.0.1 bestiet wurket prima en is dochs ûnsichtber foar jo laptop.

Op hokker adres en famylje de socket antwurdet

Twa flaters sjogge fan de klant út itselde en ferklearje de measte "net berikber"-rapporten. In tsjinner bûn oan it loopback-adres akseptearret nea ferkear fan in oare masine, en in tsjinner allinnich bûn oan in IPv4-adres antwurdet nea in klant dy't it IPv6-adres fan deselde host kiest. Fergelykje it adres yn 'e sockettabel mei it adres dat de klant echt kiest, teken foar teken, foardat jo eat oer belied oannimme.

It beheinen fan de list ta ien poarte hâldt it lêsber as de host ferskate tsjinsten draait. De sport-filter nimt de poarte tegearre mei it ferfier dat jo testen:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

De protokol-kolom feroaret it hiele antwurd

De sockettabel yndeksearret op sawol protokol as poarte, en dat binne twa ûnôfhinklike yngongen. In tsjinst dy't TCP op 1194 antwurdet seit neat oer oft eat op UDP 1194 lústert, en de klant sil altyd mar ien fan beide brûke. Befêstigje hokker ferfier de tsjinnerkonfiguraasje kiest en hokker it klantprofyl stjoert, en sykje dan krekt dy rigel.

UDP hat in twadde ploaitsje: in net-autentisearre probe is gjin flater dêr't de tsjinst op antwurdzje moat. In scan dy't de poarte stil neamt hat de diskresje fan de tsjinst metten, net syn beskikberens, testje dus mei de echte klant en profyl.

Ien poging, trije plakken om te sjen

Doch fan in goedkarde klant krekt ien poging en skriuw de tiid oant op 'e sekonde op. Lês dan trije boarnen foar dat finster: de netwurkregel of konsole fan de provider, de firewaltellers of log fan de host, en de eigen log fan de tsjinst. It ien kear dwaan makket de trije ferhalen fergelykber, en it kostet minder as it werheljen fan in poging wêrfan gjinien de tiidstimpel fêstlein hat.

De twa útkomsten wize yn tsjinoerstelde rjochtingen. As gjin pakket de host berikt hat, lit it paad it falle en is de lústerder net relevant. As it pakket by de socket oankaam en de tsjinst it wegere, is it paad yn oarder en leit it antwurd yn protokol, kryptografy of oanmeldgegevens. In poarte iepenje foar in tsjinst dy't al in ferbining akseptearre hat makket de folgjende diagnoaze dreech, net maklik.

Neam de faze foardat jo in regel feroarje

Underhanneling dy't begjint en autentikaasje dy't mislearret is ien flater, en in tunnel dy't him fêstiget wylst it trochstjoeren stûket is in hiel oare. De faze earst neame hâldt de reparaasje smel: in probleem mei oanmeldgegevens wurdt net oplost troch in firewall-regel, en in probleem mei it datapaad net troch in werstart.

Brûk de smelste diagnoaze dy't de fraach beantwurdet. In tydlike pakketwaarnimming op ien poarte, ûnder kontrôle fan in behearder, is in ridlik ynstrumint; de hiele firewall útsette is dat net, want it resultaat wurdt ûnmooglik ta te skriuwen. De ss-dokumintaasje behannelt de filters hjirboppe, en it is in goedkeaperearre earste stap as hokker opname dan ek. Skriuw op hokker fan de twa tûken jo bewiisd hawwe, en it folgjende gefal begjint by in bekend antwurd.