Á OpenVPN-biðlarinn þinn að nota nobind eða fast port?

Tvö snið sem eru aðeins frábrugðin á einni línu hegða sér öðruvísi á þeirri stundu sem annar biðlari byrjar á sama vél. Annað ber nobind og tekur hvaða staðbundna port sem kjarninn gefur; hitt frátekur 1194, og annað eintakið deyr með heimilisfangi sem þegar er í notkun. Sú lína ræður því hver velur upprunaportið, sem aftur ræður því hvort sniðið geti lifað með hverju öðru á vélinni. Þrjár spurningar ráða þessu, og fyrsta svarar flestum sniðum áður en þú nærð hinum tveimur.

Hvað nobind sleppir í raun

Sjálfgefið bindur biðlarinn staðbundið samband áður en hann hringir, og staðbundið port er 1194 nema sniðið segi annað. nobind fjarlægir þá frátekningu, svo staflinn úthlutar ónotuðu porti við tengingu. Það er undantekning, ekki sjálfgefið, og biðlari án línunnar heldur 1194, sem er einmitt ástæðan fyrir því að ófastbundið annað eintak rekast á. Flest afhent biðlarasnið bera tilskipunina af þeirri ástæðu, og að dæmaskrá geri eitthvað er ekki það sama og að ferlið geri það sjálfgefið.

Það sem breytist ekki er fjarlæga hliðin. Þjónninn hlustar enn þar sem sniðið segir að hann hlusti, og áfangaportið í stillingunni er enn áfangaportið. Dynamískt upprunaport breytir svarheimilisfangi eigin sambands þíns og engu um það hjá þjóninum.

Það felur líka ekkert. Opinbert heimilisfang þitt er það sem slóðin þýðir það yfir í, pakkinn fer enn yfir staðbundið net, og hver sem rekur það net sér enn flæði. nobind er hvorki persónuverndareiginleiki né sniðganga eldveggs.

Þrjú skilyrði sem ráða því

Ein spurning ræður hinum tveimur, svo svaraðu henni áður en þú breytir einhverju. Ef jafninginn hringir út skerpa hinar spurningarnar aðeins á þá ákvörðun sem þegar er tekin. Ef hann tekur við innkomandi tengingum gerir engin stilling staðbundins ports hann aðgengilegan.

Byrjar þessi jafningi tenginguna? Ef hann hringir út er dynamískt upprunaport skaðlaust og venjulega betra, því svarið fylgir sama flæði til baka. Ef hann bíður innkomandi tenginga gerir dynamískt port hann óaðgengilegan nema eitthvað fyrir framan birti portið. Það eina svar aðgreinir hvert biðlarasnið frá hverju þjónasniði.

Síar slóðin á upprunaportið? Ströng regla skrifuð fyrir eitt þekkt port krefst skýrs staðbundins ports, og sniðið ætti að skrá hvaða reglu það uppfyllir. Flest net sía aðeins á áfangastað, svo þetta skilyrði er sjaldgæfara en hið fyrra. Þar sem það á við gengur það framar valinu um dynamískt port.

Deila fleiri eintök vélinni? Eitt fast port getur ekki þjónað tveimur þeirra, og endurræst eintak getur fundið 1194 enn í lokunarferli. Dynamísk port fjarlægja þann árekstur án þess að breyta neinu öðru. Ef þú getur ekki svarað þessu af öryggi skaltu gera ráð fyrir já og láta kjarnann velja.

Þar sem fastbundið port er rétta svarið

Sum net sía á upprunaporti jafnt sem áfangastað, svo stjórnandi hefur ef til vill skrifað reglu sem hleypir aðeins umferð frá einu þekktu porti í gegn. Að festa staðbundna portið er þá rétt, og sniðið ætti að bera athugasemd sem nefnir regluna sem það uppfyllir. Festing vegna samhverfu við þjónaportið er ekki ástæða, því tölurnar tvær hafa ekkert með hvora aðra að gera. Ef festingin er aðeins til vegna þess að sniðmát hafði hana skaltu eyða henni.

Annars kaupir fastbundið port vandræði: tveir biðlarar á einni vél geta ekki báðir haldið 1194, og sá seinni mistekst með villu sem bendir á portið frekar en sniðið. Gámur sem endurræsist hratt rekst á sama vegg. Viðgerðin er tilskipunin sem afhentu sniðin innihéldu þegar.

Þjónn og biðlari eru ekki samhverfir

handbók OpenVPN 2.6 setur nobind við hlið lport, sem er röksemdin í einni línu: einn valkostur segir að kjarninn velji, hinn segir að þú gerir það. Dynamískt staðbundið port virkar aðeins fyrir jafningjann sem hringir, því svarhliðin getur ekki vitað portið fyrirfram. Þess vegna skapar afritun biðlarasniðs á þjón óheyrilegan hlustanda sem enginn nær í.

Á vél með nokkrum netviðmótum er heimilisfangið sérstök ákvörðun frá portinu. Að binda tiltekið staðbundið heimilisfang og að binda tiltekið port eru tvær mismunandi stillingar, og þjónn með tvær upptengingar festir venjulega báðar. Biðlari sem festir báðar hefur tekið á sig sömu stífni án nokkurrar hagsbótar.

Samantektin snýst um hlutverk frekar en öryggi: sá sem hringir getur verið sveigjanlegur um eigin uppruna, og sá sem svarar getur það ekki. Hvorugur valkosturinn breytir því sem hin hliðin lærir um auðkenni þitt. Þess vegna birtist tilskipunin í biðlaradæmum og næstum aldrei í þjónadæmum.

Staðfestu portið sem kjarninn valdi

Eftir tengingu skaltu lesa sambandið frekar en stillinguna, því stillingin segir til um áform og sambandið um það sem gerðist. Staðreyndirnar sem eru þess virði að skrá eru staðbundna portið, fjarlægi endapunkturinn og hvort eitthvað hlustar enn. Á Linux-vél eru öll þrjú eitt skipunarbil í burtu.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Biðlari með nobind sýnir hátt staðbundið port og stillta fjarlæga portið, sem er hið vænta form. Þjónn sýnir hlustandi samband á sínu stillta porti, og ef það samband vantar er sniðið annaðhvort ekki hlustandi eða tókst ekki að binda. Þegar flæði er til en engir pakkar koma til baka skaltu bera valda upprunaportið saman við hvaða portsíu sem er á slóðinni áður en þú breytir sniðinu. Breyttu einu, tengdu aftur og lestu sambandið aftur.