OpenVPN tengist en ekkert streymir: finndu lagið þar sem pakkinn fellur

OpenVPN segir tengt og engin umferð hreyfist, setning sem nær yfir að minnsta kosti fimm ótengdar bilanir. Að breyta eldveggjareglum áður en þú veist hvaða lag bregst margfaldar hið óþekkta og skilur eftir næsta verkfræðing með ringulreið. Vinndu í staðinn frá ferlinu og út, því hvert skref hér að neðan annaðhvort hreinsar eitt stig eða þrengir það hvar pakkinn deyr. Röðin skiptir máli hér: upptaka sem tekin er áður en þú veist hvaða vistfang er bundið sannar eitthvað, bara ekki það sem þú þarft.

Sokkurinn er annaðhvort bundinn eða ekki

Þjónusta sem tilkynnir að hún sé virk getur samt verið bundin við vistfang eða flutning sem þú ætlaðir aldrei. Spurðu sokkinn sjálfan: ss -lunp telur upp UDP-hlustara og ss -ltnp telur upp TCP, og sá dálkur sem er þess virði að lesa er staðbundna vistfangið, ekki staðan.

Tómt svar þýðir venjulega eitt af þrennu: ferlið hætti eftir ræsingu, það hlaði annarri stillingarskrá, eða það hlustar á öðru vistfangi en því sem hringt er í.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Tilskipun local festir hlustarann við eitt vistfang, svo biðlara sem beint er annað á sama hýsil er hafnað á meðan þjónustan virðist heilbrigð að utan. Tilviksnafn getur líka vísað á skrá sem þú hefur aldrei breytt, sem gerist á hýslum sem keyra tvö snið hlið við hlið.

Gríptu ytri pakkann, ekki göngin

Síaðu á líkamlega viðmótinu og raunverulegu gáttinni, með þínu eigin viðmóti skipt út: tcpdump -ni eth0 udp port 1194. Útfararpakkar án nokkurs sem kemur til baka benda á það sem situr ofar: síun þjónustuveitandans, NAT-tæki eða fjarlægt vistfang sem er ekki það sem þú heldur. Þögn í báðar áttir bendir á leiðslu biðlarans eða staðbundinn eldvegg. Svör sem berast án framvindu í göngunum benda á stjórnrásina, það er að segja misræmi í lykli eða dulritun, ekki á síun.

Gríptu báðar áttir og haltu skránni stuttri. Löng upptaka grefur þrjár áhugaverðar sekúndur og svarið liggur næstum alltaf í fyrsta skiptinu.

Teljarar fyrst, slóð aðeins þegar þeir ljúga

Byrjaðu á teljunum, því þeir kosta ekkert. Annaðhvort nft list ruleset eða iptables -L -n -v svarar einu spurningunni sem skiptir máli hér: féll reglan saman? Röðin ræður niðurstöðunni, því fyrsta samsvörunin vinnur, þess vegna lætur breið DROP fyrir síðari ACCEPT þann ACCEPT vera dauðan og þess vegna lagar að bæta við reglu svo sjaldan nokkuð.

Eignarhald lætur líka fólk hrasa. Kjarninn eignar staðbundið mynduðum pökkum ferlinu sem opnaði sokkinn og OpenVPN keyrir venjulega sem root, svo regla sem er bundin við venjulegt notandaaðgangsheiti sér aldrei umferð ganganna sjálfra. Athugaðu UID eigandans áður en þú ákveður að reglan sé röng.

Aðeins þegar teljarnir eru áfram tvíræðir er logg þess virði að gera hávaða, og þá aðeins fyrir þröngan sneið: iptables-regla sem takmarkar hraða og setur forskeyti á logglínurnar, eða nftables-regla sem ber meta nftrace set 1 á meðan nft monitor trace keyrir. Slóð nefnir keðjuna og regluna sem tók við eða felldi pakkann. Fjarlægðu bæði eftir á og haltu skráningu nytsams út fyrir.

Athugaðu flutninginn líka. Eldveggjarþjónusta sem er takmörkuð við TCP segir ekkert um UDP-hlustara á þeirri tölu, svo regla sem les rétt getur samt fellt hvern pakka.

Leiðsla og leiðin til baka

Samþykktur pakki sem hverfur samt þarf skoðun á ákvörðunarleiðinni. ip route get tilkynnir leiðina sem valin er fyrir eitt vistfang, og síun bakleiðar getur fellt svar sem berst um viðmót sem aðaltöflurnar myndu aldrei velja. Einkennin líta nákvæmlega út eins og felling eldveggjar, þess vegna kemur þessi athugun á undan annarri NAT-reglu.

Á gátt skoðaðu framsendingu og forward-keðjuna í stað input-keðjunnar. Staðfestu síðan að fjarlæga hliðin viti hvernig á að ná upprunavistfanginu, því vinnandi útleið án nokkurs sem kemur til baka er þögn í báðum tilvikum.

Hvað skráin verður að segja

Fyrir hverja breytingu skráðu stigið sem þú prófaðir, sönnunina sem þú lasst og gildi teljarans sitt hvoru megin við það. Það er þessi athugasemd sem gerir "það virkar núna" lífvænlegt í næstu yfirferð.

Tvær flýtileiðir halda athugasemdinni heiðarlegri. Pakki sem fór aldrei af hýslinum gat ekki verið felldur af reglu annars staðar, hversu sannfærandi stilling fjarlægu hliðarinnar sem virðist. Pakki sem fór og kom til baka færir spurninguna yfir netlagið, þar sem eldveggjarteljararnir hafa ekkert meira að segja þér.