Cén fáth nach nascann ach aon chliant VPN amháin taobh thiar den ródaire céanna

Tá dhá ríomhaire glúine ar an líonra baile céanna, agus ní ghlacann VPN na hoifige ach aon cheann acu. Teipeann ar an dara ceann nó fanann sé go dtí go ndícheanglaíonn an chéad cheann, agus níor bhain éinne le socrú cliaint idir an dá iarracht. Tá na dintiúirí mar an gcéanna leis na cinn a d'fhreastail nóiméad ó shin, agus sin é an leid nach é an fíordheimhniú an locht. Cruthaíonn trí mheicníocht an patrún seo, agus deir log an fhreastalaí féin cé acu atá romhat.

Léigh log an gheata sula mbainfidh tú le cliant

Freagraíonn taifead an fhreastalaí ar an dá iarracht an chéad cheist, agus freagraíonn sé ar cheann de thrí bhealach. Mura dtagann an dara hiarracht chun solais sa log sin riamh, níor shroich an paicéad an t-éisteoir, agus is leis an ródaire baile nó le conair an tsoláthraí an fhadhb. Má thaifeadann an log iarracht agus má dhiúltaíonn sé di, tháinig an tollán, mar sin is ceist céannachta, ceadúnais nó teorainn seisiúin í, ní rud ar an sreang. Má thaifeadann an log seisiún rathúil agus an cliant fós ag tuairisciú teipe, féach ar an gconair fillte nó ar dhá chliant a fháil an seoladh tolláin céanna.

Scarann hotspot ó fhón na teaghlaigh sin go saor: rith an dara cliant thar shonraí soghluaiste agus an chéad cheann fós ceangailte. Ciallaíonn rath ansin go bhfuil baint ag an líonra baile, agus ciallaíonn an teip chéanna ansin go bhfuil baint ag an ngeata, rud a fhágann an ródaire neamhchiontach. Níl ceachtar toradh cinntitheach as féin, ach baineann gach ceann acu leath den spás cuardaigh in aon iarracht amháin.

Scríobh an toradh síos sula n-athraíonn tú aon rud, mar is trí shocrú gan bhaint a leanann trí thoradh an log. Tá nóta a ainmníonn cé acu de na trí a chonaic tú níos fiú ná seatghrianghraf de earráid cliaint.

Cad a dhéanann an ródaire le GRE agus NAT-T

Is é PPTP an choirpeach clasaiceach: is é TCP 1723 an cainéal rialaithe agus is é GRE, prótacal IP 47, an chonair sonraí. Tagann go leor ródairí tomhaltóra le cúntóir PPTP a leanann aon nasc rialaithe amháin, mar sin osclaíonn an dara cliant taobh thiar den NAT céanna a chainéal rialaithe agus ansin ní fhaigheann sé aon chonair sonraí ar chor ar bith. Ní dhéanann seoladh ar aghaidh ar phort TCP leis an uimhir 47 aon rud do GRE, mar is uimhir phrótacail é GRE agus ní port.

L2TP thar IPsec iompraíonn sé go difriúil de réir dearadh: úsáideann IKE UDP 500, aistríonn trasnú NAT an t-ualach cosanta go UDP 4500, agus tá an t-imchlúdach ann go beacht ionas gur féidir le roinnt cliant taobh thiar d'aon seoladh amháin an geata céanna a bhaint amach. Ní chuireann an dearadh sin cosc ar gheata nó ar bhosca idirmheánach teorainn seisiúin in aghaidh an tseoltaidh a fhorchur, agus ón tolg feictear an dá theip mar an gcéanna. Tá an aicme fhadhb chéanna ag prótacal dúchais SoftEther: glacann ródaire gan phasáil oibre leis an gcéad chliant ón LAN agus scaoileann sé an dara ceann. Tástáil ALG nó lasc pasála an ródaire sa dá shuíomh, mar is féidir le cúntóir scríofa do chliant níos sine paicéid a mhilleadh a sheolann ceann reatha.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Teorainneacha céannachta a fhéachann cosúil le teorainneacha iompair

Ní hé an ródaire an t-aon amhrasán, agus déanann an log idirdhealú idir é agus an rogha eile. Nuair a phionnálann freastalaí OpenVPN ainm coiteann chuig aon seoladh tolláin amháin, faigheann an dá ghléas an seoladh sin, agus gan duplicate-cn brúnn an seisiún níos nuaí an ceann níos sine amach. Má chumasaítear an rogha sin fanann an bheirt ceangailte ach fágtar iad le haon chéannacht, aon deimhniú agus aon chinneadh cúlghairme, rud atá níos measa ná mar a fhéachann sé. Ní féidir an dara gléas a chúlghairm ina aonar ansin riamh, mar sin baineann lasc áise rialtán a bhféadfá a bheith ag teastáil uait níos déanaí go ciúin.

Léigh dialann an fhreastalaí agus a chomhad stádais le chéile, mar taispeánann ceann cinneadh an fhíordheimhnithe agus taispeánann an ceann eile cé atá ceangailte faoi láthair. Deimhníonn dhá iontráil a roinneann ainm coiteann agus aon seoladh fíorúil imbhuailt chéannachta seachas teorainn ródaire. Cuireann geataí tráchtála a dteorainneacha féin leis, ar nós plean a cheadaíonn aon seisiún comhthráthach amháin, líon ceadúnas nó riail a cheadaíonn aon seisiún in aghaidh an tseoltaidh phoiblí, agus ní athraíonn aon socrú ródaire aon cheann acu sin.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Meaitseáil an deisiú leis an iontráil sa log

Éilíonn diúltú sa log dintiúirí ar leith do gach gléas, teorainn níos airde ón té a ritheann an tseirbhís, nó dara críochphointe geata do aon mheaisín amháin. Mura sroicheann aon dara hiarracht an freastalaí riamh, is é an deisiú buan ródaire a sheolann an prótacal ar aghaidh agus a choimeádann níos mó ná aon seisiún amháin, nó iompar a láimhseálann an ródaire go maith, ar nós aon sreabhadh TCP nó UDP amháin. Is cinneadh faoi shaolré na crua-earraí é rogha eatarthu, ní faoi shocruithe an chliaint.

Ná cóipeáil próifíl gléis atá ag obair ar an dara meaisín agus ná habair go bhfuil sé déanta. Athraíonn sé sin fadhb nasctha ina fadhb rialaithe rochtana, mar ní féidir idirdhealú a dhéanamh a thuilleadh idir ríomhaire glúine caillte agus an chóip atá fós in úsáid. Folaíonn sé an locht bunaidh freisin, a fhilleann an nóiméad a thagann tríú gléas chun solais.

Dhá sheisiún bheo a fhíorú

Ceangail an dá ghléas ag an am céanna, rith an feidhmchlár beartaithe ar gach ceann, ansin athcheangail ceann acu agus déan arís é. Ní chruthaíonn aon dara deilbhín a thagann chun solais ar feadh nóiméid aon rud faoin trácht, agus is fabht eile é seisiún a thiteann tar éis deich nóiméad, le húinéir eile. Déan comparáid idir an méid a thuairiscíonn an freastalaí ag an deireadh agus an méid a chonaic na húsáideoirí, mar is minic nach n-aontaíonn an dá chuntas.

Má mhaireann an dá sheisiún agus má iompraíonn siad trácht, seasann an deisiú agus déantar taifead den mhéid a bhí cearr den nóta a scríobh tú ag an tús. Mura maireann ach ceann amháin, fill ar an gcéad chéim agus seiceáil cé acu de na trí thoradh log atá agat anois, mar b'fhéidir go bhfuil an freagra athraithe. Is féidir le cúntóirí ródaire fadhb a cheilt a thagann chun solais arís ar líonra eile, agus leanann teorainn in aghaidh an tseoltaidh an t-úsáideoir seachas an gléas. Is é an tástáil ó dhara líonra an bealach is saoire chun a fháil amach cé acu díobh sin a dheisigh tú i ndáiríre.