OpenVPN AF_INET figyelmeztetés: ártalmatlan visszaesés vagy sikertelen socket?

Két OpenVPN naplósor ugyanazokkal a szavakkal kezdődik, és csak az egyikük jelez problémát. A Could not determine IPv4/IPv6 protocol. Using AF_INET visszaesési értesítés: a profil nyitva hagyta a címcsaládot, ezért a daemon választott egyet, és továbbment. A hibaág azt jelenti, hogy nem jött létre socket, és újraindítást kér. A közös előtag után minden elválasztja őket, ezért olvasson tovább, mielőtt bármit megváltoztat.

Mit jelent a visszaesési értesítés

Az OpenVPN kifejezett családot fogad el a proto udp4 vagy proto udp6 révén, és elfogadja a proto udp-at, amikor a családot indításkor kell levezetni. A második esetben a daemon megvizsgálja a helyi kötési információkat, és választ.

Amikor ez a levezetés működik, a figyelmeztetés megmondja, melyik irányba ment, és a folyamat folytatja a socket létrehozását. Egy proto udp-tal futó kiszolgáló kettős vermű gazdagépen gyakran így kerül IPv4-re. Ezen az úton semmi sem hiba, és semmi nem utal támadásra, hiányzó webkiszolgálóra vagy elutasított fiókra. A sor csak azért hasznos, mert a későbbi ellenőrzéseket az általa megnevezett családhoz kell hasonlítani.

Egy kérdésre adott válaszként kezelje, nem diagnózisként. Megmondja, melyik családot választotta ez a folyamat, és semmit arról, miért nem tud csatlakozni egy kliens.

Hogyan néz ki a hibaág

Később ugyanabban a socket-kódban van egy ág, ahol egyáltalán nincs socket. Naplózza a rövidebb címcsalád-üzenetet, és újraindítást kér, mert nincs mihez továbbmenni. A kezdő szavak megegyeznek a visszaeséssel; az eredmény nem.

Azt követően különböztesse meg őket, ami utána jön. Ha a daemon tovább fut, és jelenti a figyelőjét, a sor információ volt. Ha kilép vagy hurokban újraindul, most a kötésről van szó.

Egy grep-találat sem azonosítja az ágat. A kifejezés forgatott összefoglalókban, tördelt sorokban és olyan naplórészletekben jelenik meg, amelyeket az emberek másodkézből illesztenek be, ezért a szomszédos sorokat és az időbélyegek sorrendjét olvassa, nem az egyetlen egyezést.

A figyelőt ellenőrizze, ne a figyelmeztetést

A futó kiszolgáló közvetlenül válaszol a család kérdésére, anélkül hogy a naplószövegből következtetne.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Hasonlítsa össze a családot, a címet és a portot a profillal. A 0.0.0.0:1194 sor csak IPv4, míg a [::]:1194 sor kettős vermű gazdagépen a bindv6only beállítástól függően mindkét családot fogadhatja. Ha a profil udp-t mond, és a socket IPv4, azok a kliensek, amelyeknek a feloldója csak AAAA-rekordot ad vissza, el fognak bukni, mielőtt az alagút egyáltalán megtárgyalásra kerülne.

Ezután teszteljen egy olyan kliensről, amely hasonlít a felhasználóihoz: ugyanaz a feloldási útvonal, ugyanolyan hálózat. A kiszolgálóról induló helyi kapcsolat nagyon keveset bizonyít arról a forgalomról, amely NAT-eszközön vagy a másik családra írt tűzfalszabályon halad át.

Mikor helyes egy családot kényszeríteni

A proto udp4 rögzítése csak IPv4-es telepítéshez illik: csak A típusú DNS-név, egy v4-címhez szóló tűzfalszabályok, olyan szolgáltatók mögötti kliensek, amelyek csak v4-címeket adnak. Megszünteti a kétértelműséget, és kiszámíthatóvá teszi a következő naplósorokat.

Ugyanez az érv fordítva érvényes egy IPv6-első környezetre, és a udp6 egy csak A típusú ügyfélbázis előtt ön okozta kiesés. Egy családot csak azért kényszeríteni, hogy elhallgattassunk egy ártalmatlan figyelmeztetést, a hiba klasszikus változata, mert megváltoztatta, ki tud csatlakozni egy nyugodtabb naplóért cserébe.

A végpontok és az azokat elérni kívánó kliensek alapján válasszon. Az OpenVPN 2.6 kézikönyv dokumentálja a szállítási formákat, és az üzenet e választás kimenete, nem a bemenete.

Tartsa szűken a feljegyzést

Írja le a pontos sort az időbélyegével, a futó profil tényleges szállítási beállítását, a socketet úgy, ahogy a kernel jelenti, és a következő szakaszt, amely meghiúsult. Ez a négy elem szinte minden kérdést eldönt, amelyet az üzenet felvet, és egyik sem igényel találgatást nem kapcsolódó szolgáltatásokról. Átadást is túlélnek, amit egy grep-képernyőkép nem tesz.

A figyelmeztetéssel együtt érkező csomagjavaslatok addig nem kapcsolódnak, amíg egy hiba meg nem nevez egy hiányzó futtatható fájlt.

Ha a ifconfig valóban hiányzik, a daemon nevén nevezi, amikor egy szkript meghívja, és ez saját vizsgálatot érdemel. Az AF_INET sor és egy hiányzó segédprogram különböző hibák, és azért telepíteni dolgokat, hogy lássuk, változik-e a figyelmeztetés, az az út, amelyen egy tiszta gazdagép rendetlenné válik.