TCP-endurstilling sannar ekki að VPN-ið þitt sé blokkað

„Tenging endurstillt, endurræsi“ birtist í skrá viðskiptavinarins, og niðurstaðan kemur áður en sönnunin. Einhver ákveður að netið blokki VPN-ið, eða að skírteinið sé rangt, eða að ákveðið land grípi inn í. Endurstilling er TCP-pakki sem endar tengingu, og skrárlínan skráir að viðskiptavinurinn þinn fékk eina. Hún nefnir hvorki tækið sem sendi hana né ástæðuna.

Endurstilling er pakki, ekki dómur

TCP skilgreinir meðferð endurstillingar: hluti með RST-fánanum endar tenginguna samstundis. Móttakandinn semur ekki, reynir ekki aftur og spyr ekki hvers vegna. Hann tilkynnir endurstillinguna og heldur áfram.

Þetta er allt sem viðskiptavinurinn veit. RST gæti hafa komið frá þjóninum, milliþjóni, eldvegg eða álagsdreifara sem missti stöðu sína.

Uppruni er sérstakt verkefni. Sýnilegt upprunatnetfang í upptöku er ekki sönnun um líkamlegt upprun og segir ekkert um stefnuákvörðunina að baki. Millitæki geta falsað netföng, og tæki með stöðu geta endurstillt vegna tímataka frekar en vilja. Að meðhöndla endurstillinguna sem dóm sleppir þeim hluta þar sem þú kemst að sannleikanum.

Staðfestu hvaða tenging var endurstillt

Athugaðu fyrst hvort virka sniðið noti raunverulega TCP. Endurstilling á UDP-göng er merkingarlaus, og skrá frá HTTP-milliþjóni getur átt við annan TCP-hluta en VPN-ið sjálft.

Skráðu áfangastað, port, tíma tilraunar og það þrep sem viðskiptavinurinn hafði náð.

Þrepið er nytsamasti reiturinn. Endurstilling í TLS-handstaki bendir á eitt sett grunaðra; endurstilling eftir auðkenningu bendir á annað. Án þrepsins passar hver kenning.

Berðu saman báða enda leiðarinnar

Ef þú stjórnar þjóninum skaltu bera saman atburði hans fyrir sömu tilraun. Samþykkti hann tenginguna? Lokaði hann henni viljandi? Fór svar frá einum landamærum og náði aldrei til þeirra næstu?

Taktu upp hjá viðskiptavininum og hjá þjóninum ef þú getur. Endurstilling sem birtist hjá viðskiptavininum en ekki þjóninum átti ekki uppruna sinn hjá þjóninum.

Fylgstu með RST-hlutum í báðar áttir:

sudo tcpdump -ni any 'tcp[tcpflags] & tcp-rst != 0' -c 20
ss -tnp | grep 198.51.100.20

Þrengdu með stýrðum samanburði

Annað samþykkt net getur sagt þér hvort bilunin fylgi viðskiptavininum eða leiðinni. Ef sama snið virkar annars staðar er stilling viðskiptavinarins líklega í lagi og breytan er leiðin.

Það auðkennir samt ekki eitt millitæki. Það þrengir umfangið að leið, sem er nytsöm og heiðarleg niðurstaða.

Haltu aðgreiningunni milli þess að þessi leið mistakist og að þessi tiltekni aðili hafi valdið því. Hið fyrra er prófanlegt; hið síðara yfirleitt ekki frá einum viðskiptavini.

Athugaðu lagfæringuna án þess að breyta trauststillingum

Slökktu ekki á TLS-staðfestingu, endurnýjaðu ekki skilríki og tilkynntu ekki blokkun stefnu út frá einni endurstillingarlínu. Sérhver þessara breytinga breytir kerfinu sem er prófað og gerir næsta samanburð merkingarlausan.

Lagfærðu auðkennda íhlutinn í gegnum eiganda hans og endurtaktu síðan sama snið og sömu athugun:

openvpn --config client.ovpn --verb 4
sudo tcpdump -ni any 'host 198.51.100.20 and tcp' -c 40

Nyttur árangur er betur staðsett bilun, ekki öruggari saga. Ef endurstillingin hverfur eftir lagfæringu milliþjóns hefurðu orsök. Ef hún flyst á annað þrep hefurðu lært eitthvað um leiðina. Hvort sem er ætti sönnunin að þola lestur annars manns. Skráðu það sem þú sátt, ekki það sem þú komst að.