Ceanglaíonn OpenVPN ach ní shreabhann aon rud: aimsigh an tsraith ina bhfaigheann an paicéad bás

OpenVPN deir ceangailte agus ní ghluaiseann aon trácht, abairt a chlúdaíonn cúig locht neamhghaolmhara ar a laghad. Má dhéanann tú eagarthóireacht ar rialacha balla dóiteáin sula bhfuil a fhios agat cé acu sraith atá ag teip, méadófar na rudaí anaithnide agus fágfar praiseach don innealtóir seo chugainn. Oibrigh amach ón bpróiseas ina ionad, toisc go nglanann gach céim thíos céim amháin nó go gcúngaíonn sí an áit a bhfaigheann an paicéad bás. Tá an t-ord tábhachtach anseo: cruthóidh gabháil a thógtar sula bhfuil a fhios agat cén seoladh atá ceangailte rud éigin, ach ní hé an rud a theastaíonn uait.

Tá an soicéad ceangailte nó níl

Is féidir le seirbhís a thuairiscíonn go bhfuil sí gníomhach a bheith fós ceangailte le seoladh nó le hiompar nár bheartaigh tú riamh. Fiafraigh den soicéad féin: liostaíonn ss -lunp éisteoirí UDP agus liostaíonn ss -ltnp TCP, agus is é an colún ar fiú é a léamh an seoladh áitiúil, ní an staid.

Ciallaíonn freagra folamh de ghnáth ceann de thrí rud: d'fhág an próiseas tar éis tosaithe, lódáil sé comhad cumraíochta eile, nó éisteann sé ar sheoladh difriúil ón gceann a ndéantar glao air.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Daingníonn treoir local an t-éisteoir ar aon seoladh amháin, mar sin diúltaítear do chliant atá dírithe in áit eile ar an óstróir chéanna agus an tseirbhís fós ag breathnú sláintiúil ón taobh amuigh. Is féidir le hainm cás freisin pointeáil chuig comhad nár chuir tú in eagar riamh, rud a tharlaíonn ar óstróirí a ritheann dhá phróifíl taobh le taobh.

Gabh an paicéad seachtrach, ní an tollán

Déan scagadh ar an gcomhéadan fisiceach agus ar an bhfíorphort, le do chomhéadan féin curtha ina áit: tcpdump -ni eth0 udp port 1194. Cuireann paicéid amach gan aon rud ag teacht ar ais in iúl an méid atá in airde: scagadh an tsoláthraí, gléas NAT nó seoladh i bhfad i gcéin nach é an ceann a cheapann tú. Cuireann tost sa dá threo in iúl ródú an chliaint nó balla dóiteáin áitiúil. Cuireann freagraí a thagann gan dul chun cinn sa tollán in iúl an cainéal rialaithe, is é sin easaontas eochair nó siffear, ní an scagadh.

Gabh an dá threo agus coinnigh an comhad gearr. Cuireann gabháil fhada na trí shoicind spéisiúla i bhfolach, agus bíonn an freagra beagnach i gcónaí sa chéad mhalartú.

Cuntair ar dtús, rian ach amháin nuair a bhíonn siad ag insint bréag

Tosaigh leis na cuntair, mar ní chosnaíonn siad dada. Freagraíonn nft list ruleset nó iptables -L -n -v an t-aon cheist atá tábhachtach anseo: ar mheaitseáil an riail? Cinneann an t-ord an toradh, mar bíonn an chéad mheaitseáil i réim, agus mar sin fágann DROP leathan roimh ACCEPT níos déanaí an ACCEPT sin marbh agus mar sin is annamh a dheisíonn cur le riail aon rud.

Cuireann úinéireacht daoine as a riocht freisin. Cuireann an t-eithne paicéid a ghintear go háitiúil i leith an phróisis a d'oscail an soicéad, agus ritheann OpenVPN mar root de ghnáth, mar sin ní fheiceann riail atá ceangailte le gnáth-aitheantas úsáideora trácht an tolláin féin riamh. Seiceáil an UID úinéara sula gcinnfidh tú go bhfuil an riail mícheart.

Ní fiú torann an log ach amháin nuair a fhanann na cuntair dhébhríocha, agus fiú ansin ní ach do shlisnín cúng: riail iptables a theorannaíonn ráta agus a chuireann réimír lena línte loga, nó riail nftables a iompraíonn meta nftrace set 1 agus nft monitor trace ag rith. Ainmníonn rian an tslabhra agus an riail a ghlac leis an paicéad nó a chaith é. Bain an dá rud ina dhiaidh sin agus coinnigh lógaíl phálasta amach as.

Seiceáil an t-iompar freisin. Ní deir seirbhís balla dóiteáin atá teoranta do TCP aon rud faoi éisteoir UDP ar an uimhir sin, mar sin is féidir le riail a léitear i gceart gach paicéad a chaitheamh fós.

Ródú agus an bealach ar ais

Teastaíonn scrúdú ar a chonair chinn scríbe ó phaicéad glactha a imíonn fós. Tuairiscíonn ip route get an ród a roghnaíodh do sheoladh amháin, agus is féidir le scagadh conaire droim ar ais freagra a chaitheamh a thagann isteach thar chomhéadan nach roghnódh an phríomhthábla riamh. Breathnaíonn an tsíomptóm go díreach cosúil le caith amach ag balla dóiteáin, agus mar sin tagann an seiceáil seo roimh riail NAT eile.

Ar gheata, scrúdaigh an t-ardú agus an tslabhra forward seachas an tslabhra input. Ansin deimhnigh go bhfuil a fhios ag an taobh i bhfad i gcéin conas an seoladh foinse a bhaint amach, mar is tost é conair amach a oibríonn gan aon rud ag teacht ar ais sa dá chás.

Cad a chaithfidh an nóta a rá

Do gach athrú, nótáil an chéim a thástáil tú, an fhianaise a léigh tú agus luach an chuntair ar an dá thaobh de. Is é an nóta sin a fhágann go maireann "oibríonn sé anois" ag an gcéad athbhreithniú eile.

Coinníonn dhá aicearra an nóta ionraic. Ní fhéadfadh riail in áit éigin eile paicéad nár fhág an t-óstróir riamh a chaitheamh, cibé chomh diongbháilte is a fhéachann cumraíocht an taobh i bhfad i gcéin. Bogann paicéad a d'fhág agus a d'fhill an cheist os cionn na sraithe líonra, áit nach bhfuil aon rud fágtha ag cuntair an bhalla dóiteáin le rá leat.