OpenVPN-ը 53 պորտում՝ երեք զրույց, որոնք մարդիկ շփոթում են
Վերջնակետի անվան լուծումը, գաղտնագրված տրանսպորտը և թունելից հետո DNS-ը երեք զրույց են։ Բացահայտեք, թե որ փուլն է ձախողվել, նախքան պորտ կամ լուծիչ փոխելը։
Հաշվետվությունները, որոնք ասում են, թե VPN-ը արգելափակված է 53 պորտում, խառնում են երեք դիտարկում, որոնք ձախողվում են տարբեր պատճառներով։ Վերջնակետի անվան լուծումը տեղի է ունենում նախքան որևէ թունելի գոյությունը, գաղտնագրված տրանսպորտը առանձին զրույց է, իսկ դրանից հետո արվող DNS հարցումները երրորդն են։ Յուրաքանչյուրն ունի իր ձախողման ստորագրությունը, և դրանցից միայն մեկն է ընդհանրապես DNS-ի մասին։
Նախքան որևէ բան փոխելը՝ դասավորեք փաթեթները ըստ նպատակի, որովհետև լուծումը հետևում է փուլին։
Երեք զրույց, մեկ պորտի համար
Առաջին զրույցը վերջնակետի անվան որոնումն է՝ ձեր մեքենան հարցնում է իր կարգավորված լուծիչին, թե որտեղ է գտնվում vpn.example.com-ը, և այդ պատասխանը գալիս է սովորական DNS-ով, նախքան հաճախորդը կուղարկի թեկուզ մեկ թունելային փաթեթ։ Երկրորդը հենց OpenVPN տրանսպորտն է, որը միանում է այն հասցեին, որը տվել է որոնումը, այն արձանագրությամբ և պորտով, որը նշում է պրոֆիլը։ Երրորդը տեղի է ունենում այն բանից հետո, երբ թունելը բարձրացել է, երբ հավելվածները անուններ են հարցնում, և ուղարկված լուծիչի կարգավորումները որոշում են, թե ով է պատասխանելու։
Այդ երեքը կարող են հաջողվել կամ ձախողվել ինքնուրույն։ Հաճախորդը կարող է կատարելապես լուծել իր վերջնակետը և այնուամենայնիվ չհասնել լսողին, և կարող է թունել կանգնեցնել, մինչ ներքին անունների ամեն որոնում ձախողվում է, որովհետև DNS կարգավորումները երբեք չեն հասել։
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Կարդացեք աղյուսակը որպես ստուգաթերթ, ոչ որպես նկարագրություն։ Եթե վերջնակետի անունը չի լուծվում, ոչինչ ավելի ուշ չի կարող աշխատել, և թունելը երբեք չի սկսվում։
Պորտի համարը չի անվանում հավելվածը
53 պորտը սովորույթով կրում է DNS, և OpenVPN օպերատորը կարող է այնտեղ նաև լսող հրապարակել, ինչի հենց այդ պատճառով էլ այդ թիվը վատ նույնացուցիչ է։ UDP 53-ի վրա OpenVPN նստաշրջանը դեռ OpenVPN նստաշրջան է, և 53 պորտի սերվերին ուղղված DNS հարցումը ոչինչ չի ասում թունելի թույլատրելիության մասին։ Պրոֆիլի proto և remote տողերը սահմանում են արտաքին վերջնակետը, իսկ պորտի համարը ինքնին ոչինչ չի սահմանում։
Սա երկուստեք է կտրում ախտորոշման ժամանակ՝ 53 պորտին ուղղված ընդհանուր UDP փորձարկումն ապացուցում է, որ պորտը պատասխանում է, ոչ թե որ VPN ծառայությունն է պատասխանում։ Փորձարկեք իրական հաճախորդով և իրական պրոֆիլով, որովհետև միայն դա է վարժեցնում այն ձեռքսեղմումը, որը սպասում է ծառայությունը։
Ապացուցեք լսողին, նախքան ցանցին մեղադրելը
Սերվերի վրա ստուգեք, թե ինչ է կապված ss -lunp | grep 53-ով, և համեմատեք պրոֆիլի արձանագրության և պորտի հետ։ Հաճախորդի ցանցից գործարկեք հաճախորդն ավելի մեծ մանրամասնությամբ, որպեսզի մատյանը ցույց տա, թե որ հասցեն և տրանսպորտն է փորձել։ Եթե սերվերը լսում է, իսկ հաճախորդի փաթեթները չեն հասնում, ուղին կամ քաղաքականությունն է դրանք մերժում, և դա զրույց է ցանցի տիրոջ հետ, ոչ թե պորտը փոխելու պատճառ։
Այլ պորտը օգնում է միայն այն դեպքում, երբ ծառայությունն իսկապես այնտեղ է լսում, և տեղաբաշխումը դա թույլատրում է։ Լսողին տեղափոխելը՝ կառավարվող ցանցի զտումից խուսափելու համար, քաղաքականության որոշում է, ոչ թե խնդրի լուծման քայլ։ Հարցրեք ցանցի տիրոջը, թե ինչ է թույլատրված, նախքան ծառայությունը փոխելը, որովհետև քաղաքականությունը խախտող շրջանցումը հետո միևնույն է փակվում է։ Գրի առեք այդ պատասխանը պրոֆիլի կողքին, որպեսզի հաջորդ մարդը չկրկնի հարցումը։
Ստուգեք DNS-ը թունելից հետո՝ առանձին
Երբ թունելը բարձրացած է, ուսումնասիրեք լուծիչի վիճակը VPN ինտերֆեյսում և հարցրեք մեկ ներքին և մեկ հրապարակային անուն։ Եթե ներքին անունները ձախողվում են, մինչ թունելը երթևեկություն է տեղափոխում, ուղարկված DNS կարգավորումները չեն կիրառվել, ինչը հաճախորդի ինտեգրման հարց է, ոչ թե տրանսպորտի։ Եթե հրապարակային անունները ձախողվում են, իսկ ներքինները՝ աշխատում, բաժանված թունելի քաղաքականությունն անում է այն, ինչի համար կարգավորվել է։
DNS փոփոխությունները թողեք լուծիչի տիրոջը։ Կառավարվող լուծիչի կարգավորումը վերագրելը՝ մեկ թեստ անցկացնելու համար, կարող է կոտրել մասնավոր անունները մեքենայի մնացած ամեն ինչի համար։ Եթե թունելը լուծիչ է ուղարկում, իսկ հաճախորդն անտեսում է այն, ուղղեք հաճախորդի ինտեգրումը՝ այլ տեղ ստատիկ գրառում ավելացնելու փոխարեն։ Ստատիկ գրառումները թաքցնում են ձախողումը, մինչև ինչ-որ մեկը ցանցը փոխի։ Գրեք, թե որ լուծիչը պետք է պատասխանի անունների յուրաքանչյուր տարածությանը։