Պե՞տք է արդյոք ձեր OpenVPN հաճախորդը օգտագործի nobind, թե՞ ֆիքսված պորտ։

Մեկ տողով տարբերվող երկու պրոֆիլներ տարբեր կերպ են վարվում այն պահին, երբ նույն հոսթում սկսվում է երկրորդ հաճախորդը։ Մեկը կրում է nobind և վերցնում է այն տեղական պորտը, որը տալիս է միջուկը. մյուսը վերապահում է 1194-ը, և երկրորդ օրինակը մահանում է արդեն օգտագործվող հասցեով։ Այդ տողը որոշում է, թե ով է ընտրում աղբյուրի պորտը, որն էլ իր հերթին որոշում է՝ պրոֆիլը կարո՞ղ է գոյակցել մեքենայի վրա որևէ այլ բանի հետ։ Երեք հարց լուծում են դա, և առաջինը պատասխանում է պրոֆիլների մեծ մասին, նախքան մյուս երկուսին հասնելը։

Ինչից է իրականում բաց թողնում nobind-ը

Լռելյայն հաճախորդը զանգից առաջ կապում է տեղական սոկետ, և տեղական պորտը 1194 է, եթե պրոֆիլը այլ բան չի ասում։ nobind հեռացնում է այդ վերապահումը, ուստի կույտը կապի պահին հատկացնում է չօգտագործված պորտ։ Դա բացառություն է, ոչ լռելյայն, և առանց տողի հաճախորդը պահում է 1194-ը, ինչի պատճառով էլ չամրացված երկրորդ օրինակը բախվում է։ Առաքվող հաճախորդային պրոֆիլների մեծ մասը կրում է այս հրահանգը հենց այդ պատճառով, և այն, որ նմուշային ֆայլն ինչ-որ բան է անում, նույնը չէ, ինչ մեխանիզմը լռելյայն անում է դա։

Այն, ինչ չի փոխվում, հեռու կողմն է։ Սերվերը դեռ լսում է այնտեղ, որտեղ պրոֆիլն ասում է, որ լսում է, և կազմաձևի նպատակակետ պորտը դեռ նպատակակետ պորտն է։ Դինամիկ աղբյուրի պորտը փոխում է ձեր սեփական սոկետի վերադարձի հասցեն և ոչինչ սերվերի սոկետում։

Այն նաև ոչինչ չի թաքցնում։ Ձեր հանրային հասցեն այն է, ինչի է այն վերածում ուղին, փաթեթը դեռ անցնում է տեղական ցանցով, և ով կառավարում է այդ ցանցը, դեռ տեսնում է հոսք։ nobind ոչ գաղտնիության հատկանիշ է, ոչ էլ հրակայունի շրջանցում։

Երեք պայման, որոնք որոշում են դա

Մեկ հարց որոշում է մյուս երկուսին, ուստի պատասխանեք դրան նախքան որևէ բան խմբագրելը։ Եթե գործընկերը դուրս է զանգում, մնացած հարցերը միայն ճշտում են արդեն կայացված որոշումը։ Եթե այն ընդունում է ներքին կապեր, տեղական պորտի ոչ մի կարգավորում այն հասանելի չի դարձնում։

Արդյո՞ք այս գործընկերն է սկսում կապը։ Եթե դուրս է զանգում, դինամիկ աղբյուրի պորտը անվտանգ է և սովորաբար նախընտրելի, որովհետև պատասխանը վերադառնում է նույն հոսքով։ Եթե սպասում է ներքին կապերի, դինամիկ պորտը դարձնում է այն անհասանելի, քանի դեռ առջևում ինչ-որ բան չի հրապարակում պորտը։ Այդ մեկ պատասխանը բաժանում է յուրաքանչյուր հաճախորդային պրոֆիլ յուրաքանչյուր սերվերային պրոֆիլից։

Արդյո՞ք ուղին զտում է աղբյուրի պորտով։ Մեկ հայտնի պորտի համար գրված խիստ կանոնը պարտադրում է բացահայտ տեղական պորտ, և պրոֆիլը պետք է գրանցի, թե որ կանոնն է բավարարում։ Ցանցերի մեծ մասը զտում է միայն նպատակակետով, ուստի այս պայմանն ավելի հազվադեպ է, քան առաջինը։ Այնտեղ, որտեղ կիրառվում է, այն գերազանցում է դինամիկ պորտի նախապատվությանը։

Արդյո՞ք մի քանի օրինակներ կիսում են հոսթը։ Մեկ ֆիքսված պորտ չի կարող սպասարկել նրանցից երկուսին, և վերագործարկված օրինակը կարող է 1194-ը դեռ փակման վիճակում գտնել։ Դինամիկ պորտերը վերացնում են այդ բախումը՝ առանց որևէ այլ բան փոխելու։ Եթե չեք կարող վստահ պատասխանել սրան, ենթադրեք այո և թողեք միջուկին ընտրել։

Որտեղ ամրացված պորտը ճիշտ պատասխանն է

Որոշ ցանցեր զտում են և՛ աղբյուրի պորտով, և՛ նպատակակետով, ուստի օպերատորը կարող է կանոն գրել, որն անցկացնում է միայն մեկ հայտնի պորտից եկող երթևեկությունը։ Տեղական պորտի ամրացումն այդ դեպքում ճիշտ է, և պրոֆիլը պետք է մեկնաբանություն կրի, որը նշում է բավարարված կանոնը։ Սերվերի պորտի հետ համաչափության համար ամրացնելը պատճառ չէ, որովհետև այդ երկու թվերը ոչ մի կապ չունեն իրար հետ։ Եթե ամրացումը գոյություն ունի միայն այն պատճառով, որ ձևանմուշում եղել է, ջնջեք այն։

Այլապես ամրացված պորտը փորձանք է գնում. մեկ մեքենայի վրա երկու հաճախորդ չեն կարող միաժամանակ պահել 1194-ը, և երկրորդը ձախողվում է սխալով, որը ցույց է տալիս պորտին, ոչ պրոֆիլին։ Արագ վերագործարկվող կոնտեյները բախվում է նույն պատին։ Վերանորոգումը այն հրահանգն է, որը առաքված պրոֆիլներն արդեն պարունակում էին։

Սերվերն ու հաճախորդը համաչափ չեն

OpenVPN 2.6 ձեռնարկը տեղադրում է nobind կողքին lport, ինչը մեկ տողով փաստարկն է. մի տարբերակն ասում է, որ ընտրում է միջուկը, մյուսը՝ որ դուք։ Դինամիկ տեղական պորտը աշխատում է միայն դուրս զանգահարող գործընկերոջ համար, որովհետև պատասխանող կողմը չի կարող նախապես իմանալ պորտը։ Այդ պատճառով հաճախորդային պրոֆիլը սերվերի վրա պատճենելը ստեղծում է լսող, որին ոչ ոք չի կարող հասնել։

Մի քանի ցանցային միջերես ունեցող հոսթում հասցեն պորտից առանձին որոշում է։ Կոնկրետ տեղական հասցե կապելը և կոնկրետ պորտ կապելը երկու տարբեր կարգավորում են, և երկու վերին կապ ունեցող սերվերը սովորաբար ամրացնում է երկուսն էլ։ Հաճախորդը, որը ամրացնում է երկուսն էլ, վերցրել է նույն կոշտությունը՝ առանց որևէ օգուտի։

Ամփոփումը դերերի մասին է, ոչ անվտանգության. ով զանգում է, կարող է ճկուն լինել իր աղբյուրի հարցում, իսկ ով պատասխանում է՝ չի կարող։ Ոչ մի ընտրություն չի փոխում այն, ինչ մյուս կողմն իմանում է ձեր ինքնության մասին։ Սա է նաև պատճառը, որ հրահանգը հանդիպում է հաճախորդային նմուշներում և գրեթե երբեք սերվերայիններում։

Ստուգեք միջուկի ընտրած պորտը

Կապվելուց հետո կարդացեք սոկետը, ոչ կազմաձևը, որովհետև կազմաձևը հայտնում է մտադրությունը, իսկ սոկետը՝ ինչ է պատահել։ Գրանցման արժանի փաստերն են տեղական պորտը, հեռավոր վերջնակետը և արդյոք ինչ-որ բան դեռ լսում է։ Linux հոսթում բոլոր երեքը մեկ հրամանի հեռավորության վրա են։

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

nobind հաճախորդը ցուցադրում է բարձր տեղական պորտ և կազմաձևված հեռավոր պորտ, ինչը սպասվող ձևն է։ Սերվերը ցուցադրում է լսող սոկետ իր կազմաձևված պորտում, և եթե այդ սոկետը բացակայում է, պրոֆիլը կա՛մ լսող չէ, կա՛մ չի կարողացել կապվել։ Երբ հոսք կա, բայց փաթեթներ չեն վերադառնում, համեմատեք ընտրված աղբյուրի պորտը ուղու ցանկացած պորտային զտիչի հետ նախքան պրոֆիլը խմբագրելը։ Փոխեք մեկ բան, նորից կապվեք և նորից կարդացեք սոկետը։