OpenVPN virkar heima en ekki á einu neti: UDP eða TCP?

Sama sniðið tengist heima en stöðvast á hótel-, háskóla- eða útibúsneti. Auðkennin breyttust ekki, svo áhugaverða breytan er leiðin: hvað verður um pakkana áður en OpenVPN les þá. Að bera saman fjórar mögulegar orsakir í þeirri röð sem hægt er að prófa þær er betra en að giska á vottorð. Hver þeirra skilur eftir sig misjafnt spor, og sporið er það sem greinir þær.

Hvaða stig brást ræður því hvaða samanburður skiptir máli

Biðlaraannállinn skráir þegar hversu langt þú komst. Lína sem segir að TLS-lyklunarsamningur hafi ekki tekist innan tímamarka þýðir að fyrsti pakkinn fór og ekkert nothæft kom til baka, sem bendir á leiðina. Vottorðshöfnun lítur allt öðruvísi út: svar berst, og síðan nefnir ákveðin staðfestingarvilla ástæðuna. Athugaðu síðustu línuna fyrir endurtekningarlykkjuna, því það er gildið sem þú berð saman á milli neta.

Taktu upp á meðan verið er að reyna aftur, ekki eftir á. Á biðlaranum sýnir tcpdump -ni any udp port 1194 hvort nokkurt svar komi yfirhöfuð til baka. Endurtaktu það á WAN-viðmóti netþjóns sem þú stjórnar, sem leiðir í ljós hvort þessir pakkar nái yfirhöfuð til fjarlæga endans.

Einhliða umferð er gagnlegasta niðurstaðan sem völ er á hér, því hún breytir óstöðugri kvörtun í stefnu til að rannsaka. Geymdu upptökuskrárnar, því næsta tilkynning um sama vandamál er auðveldara að loka með sönnunargögnum en með lýsingu.

UDP-síun á móti lokuðum porti

Mörg aðgangsnet líta á viðvarandi UDP sem grunsamlegt, og sumir ISP-ar eru sammála. Lokað port framleiðir sömu þögn frá sjónarhóli biðlarans. Munurinn er sértækni: sía hefur tilhneigingu til að vera vandlát um hvaða áfangastaði eða port hún sleppir, en lokað port hafnar öllu sem beint er að því porti.

TCP-snið á porti 443 er venjulega lausnin, því það líkist venjulegu HTTPS-flæði og fer í gegnum flest captive-portal og útstreymissíur. Tvö skilyrði þurfa að gilda. Netþjónninn verður að hlusta með proto tcp-server og biðlarinn verður að passa við proto tcp-client, og rekstraraðilinn verður að birta þann varamöguleika. Að endurskrifa virkt UDP-snið til að segjast vera TCP 443 kemst hvergi ef ekkert hlustar á hinum endanum.

Lokað port er stillingarvandamál frekar en ritskoðunarvandamál. Netþjónn á bak við heimanetstengil þarf að fá UDP-portið framsent, og eldveggur tækisins verður að leyfa það. Þegar portið var aldrei leyft mistekst hver biðlari í samningaviðræðum óháð auðkennum, og bilunin fylgir netþjóninum í stað netsins.

Eldri samskiptareglur standa sig illa í þessum samanburði. PPTP þarf TCP 1723 auk GRE, og GRE er IP-samskiptaregla 47 frekar en port, svo engin venjuleg portframsetning lýsir því.

Þegar rofinn er sá sem sleppir pökkum

Stýrður rofi getur sleppt göngunni viljandi. Sumar HPE- og Aruba-gerðir bjóða upp á stýringu fyrir UDP-flóðvörn, stundum merktri Prevent UDP Blat Attack, í ítarlegum öryggishluta sínum. Þegar sú stýring er virk svarar netþjónn á bak við rofann engu og hver biðlari rennur út á tíma á sama hátt. Að hreinsa hana og vista keyrandi stillingar er öll viðgerðin, en aðeins eftir að þú hefur staðfest að rofinn sé í raun á leiðinni.

Mótvægissönnunargögn eru það sem greinir rofasleppingu frá blokkun þjónustuveitanda. Lestu viðmótsmælana og flóðvarnarannállinn áður en þú opnar mál hjá ISP. Neytendarúterar með DoS- eða flóðvörn bila á sama hátt, og það sama gildir um hvaða millistykki sem er með stuttan UDP-aðgerðaleysistíma. Handaband sem klárast aldrei bendir til sleppingar, en göng sem deyja eftir nokkrar mínútur af þögn benda til tímamarkanna.

Skrifaðu niður hvert tæki milli biðlarans og netþjónsins áður en þú breytir sniði. Viðgerð sem beitt er á röngu lagi lítur rétt út þar til næsta net kemur. Sá listi segir næsta verkfræðingi líka hvar á að leita án þess að endurtaka alla rannsóknina.

Vistfangaskörun sem lítur út eins og DNS-bilun

Aðgangsnet sem er númerað innan 10.0.0.0/8 getur skarast við göngulaugina, og uppflettingin býr venjulega innan þeirrar laugar. Þegar fartölva fær vistfang eins og 10.184.178.50 með /8 hlutvernd á Wi-Fi er hver 10.x áfangastaður staðbundinn samkvæmt skilgreiningu. Pakkar til 10.4.0.1 fara þá á LAN, göngin haldast uppi og nafnaupplausn bregst.

ip addr afhjúpar skörunina í einu augnatilliti, og ip route get 10.4.0.1 sýnir hvert pakkinn yrði í raun afhentur. Vegna þess að sýnilega einkennið er uppflettingarbilun lifir þessi oft af nokkrar umferðir af DNS-breytingum.

Endurnúmeraðu laugina eða haltu því aðgangsneti utan sviðs. Engin stilling á biðlarahlið batar skörun.

Að velja milli TCP-varaleiðar og leiðarviðgerðar

Veldu TCP-varaleiðina þegar þú stjórnar ekki leiðinni og notendur þurfa að vinna í dag, og samþykktu kostnaðinn: TCP inni í TCP hegðar sér illa á töpulínum, og varaleiðin þarf hlustun sem þú rekur. Veldu leiðarviðgerðina þegar blokkunin er á innviðum sem þú átt, því eldveggjarregla er ódýrari en önnur hlustun. Hvort sem er, farðu í gegnum lögin í röð: tenging, ytri flutningur, samningaviðræður, innri leiðsögn. Stigið sem brást á því neti er eina staðreyndin sem skiptir máli.

Skráðu niðurstöðuna fyrir hvert net frekar en hvern notanda. Næsta tilkynning um sömu bilun byrjar þá á þekktu stigi í stað vottorðakenningar. Sú skrá er líka það sem réttlætir varanlega aðra hlustun, ef hennar verður nokkurn tíma þörf.