OpenVPN á gátt 53: þrjú samtal sem fólk ruglar saman
Uppfletting endapunkts, dulkóðaður flutningur og DNS eftir göng eru þrjú samtal. Greindu hvaða stig brást áður en þú skiptir um gátt eða leysi.
Skýrslur sem segja að VPN sé lokað á gátt 53 blanda saman þremur athugunum sem bregðast af ólíkum ástæðum. Uppfletting nafns endapunkts fer fram áður en göng eru til, dulkóðaði flutningurinn er sér samtal, og DNS-fyrirspurnirnar sem gerðar eru á eftir eru þriðja. Hvert hefur sína eigin bilunarsignatúr, og aðeins eitt þeirra snýst um DNS yfirleitt.
Raðaðu pakkana eftir tilgangi áður en þú breytir nokkru, því lagfæringin fylgir stiginu.
Þrjú samtal, ein gáttarnúmer
Fyrsta samtalið er nafnleit fyrir endapunktinn: vélin þín spyr stillta leysinn sinn hvar vpn.example.com er, og það svar kemur yfir venjulegt DNS áður en biðlarinn sendir eitt einasta göngupakka. Annað er OpenVPN-flutningurinn sjálfur, sem tengist við netfangið sem leitin gaf á þeirri samskiptareglu og þeirri gátt sem sniðið nefnir. Þriðja gerist eftir að göngin eru komin upp, þegar forrit biðja um nöfn og stillingar leysisins sem ýtt var inn ákveða hver svarar.
Þessi þrjú geta heppnast eða brugðist óháð. Biðlari getur leyst endapunkt sinn fullkomlega og samt ekki náð í hlustandann, og hann getur komið upp göngum á meðan hver innri nafnleit bregst því DNS-stillingarnar komu aldrei.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Lestu töfluna sem gátlista en ekki lýsingu. Ef nafn endapunktsins leysist ekki, getur ekkert síðar virkað, og göngin hefjast aldrei.
Gáttarnúmerið nefnir ekki forritið
Gátt 53 ber DNS samkvæmt venju, og OpenVPN-rekstraraðili getur líka birt hlustanda þar, sem er einmitt ástæðan fyrir því að númerið er lélegt auðkenni. OpenVPN-lota á UDP 53 er enn OpenVPN-lota, og DNS-fyrirspurn til þjóns á gátt 53 segir ekkert um hvort göng eru leyfð. Línurnar proto og remote í sniðinu skilgreina ytri endapunktinn; gáttarnúmerið skilgreinir ekkert sjálft.
Það sker til beggja hliða við greiningu: almennt UDP-próf á gátt 53 sannar að gátt svari, ekki að VPN-þjónustan svari. Prófaðu með raunverulegum biðlara og raunverulegu sniði, því aðeins það æfir handabandið sem þjónustan býst við.
Sannaðu hlustandann áður en þú kennir netinu um
Á þjóninum skaltu staðfesta hvað er bundið með ss -lunp | grep 53 og bera það saman við samskiptaregluverkið og gáttina í sniðinu. Frá neti biðlarans skaltu keyra biðlarann með meiri smáatriðum svo annálin sýni hvaða vistfang og flutning hann reyndi. Ef þjónninn hlustar og pakkar biðlarans koma ekki, þá er slóðin eða stefnan að hafna þeim, og það er samtal við eiganda netsins en ekki ástæða til að skipta um gátt.
Önnur gátt hjálpar aðeins þegar þjónustan hlustar raunverulega þar og uppsetningin leyfir það. Að flytja hlustanda til að komast hjá síun stýrðs nets er stefnuákvörðun, ekki skref í bilunargreiningu. Spurðu eiganda netsins hvað er leyft áður en þú breytir þjónustunni, því hjáleið sem brýtur stefnu verður lokað síðar hvort eð er. Skrifaðu það svar við hliðina á sniðinu svo næsti maður endurtaki ekki beiðnina.
Athugaðu DNS eftir göngin, sérstaklega
Þegar göngin eru komin upp skaltu skoða stöðu leysisins á VPN-viðmótinu og kalla á eitt innra nafn og eitt opinbert nafn. Ef innri nöfn bregðast á meðan göngin flytja umferð, þá var DNS-stillingunum sem ýtt var inn ekki beitt, sem er spurning um samþættingu biðlarans en ekki flutnings. Ef opinber nöfn bregðast og innri nöfn virka, þá gerir stefnan um klofin göng það sem hún var stillt til að gera.
Hafðu DNS-breytingar hjá eiganda leysisins. Að skrifa yfir stýrða leysistillingu til að láta eitt próf ganga getur brotið einkanöfn fyrir allt annað á vélinni. Ef göngin ýta inn leysi og biðlarinn hunsar hann, lagaðu samþættingu biðlarans í stað þess að bæta kyrrstæðri færslu við annars staðar. Kyrrstæðar færslur fela bilunina þar til einhver skiptir um net. Skrifaðu niður hvaða leysir á að svara hverju nafnrými.