VPN-gáttin þögul? Hlustari, bind-heimilisfang eða eldveggur hýsilsins

VPN-ið svarar engu á gáttinni, og tvær mögulegar orsakir krefjast andstæðra viðgerða: annaðhvort opnaði ekkert ferli sökklann, eða sökullinn er til og eitthvað milli vélanna stöðvar pakkana. Ein skipun ræður fyrri helmingi þeirrar spurningar, þess vegna kemur hún á undan hvaða eldveggjarreglu sem er. Röðin hér að neðan fjarlægir eina skýringu í hverju skrefi í stað þess að bæta við annarri getgátu. Það er einmitt getgátan milli þeirra tveggja sem gerir tíu mínútna greiningu að heilum kvöldi.

Gerðu ráð fyrir að þú getir skráð þig inn á þjóninn og að biðlarinn sé raunverulegt snið en ekki skanni. Báðar forsendur skipta máli, því almenn rannsókn getur ekki svarað spurningu sem er sérstök fyrir prótókollinn.

Er sökullinn yfirleitt til

Byrjaðu á frásögn þjónustunnar af sjálfri sér: hvort hún fór í gang og, gagnlegra, hver fyrsta upphafsvilla hennar var. Þáttunarbilun, vantar lykil eða bind-villa kemur í veg fyrir að hlustarinn verði nokkurn tíma til, og ferlið getur lokið svo hljóðlega að stöðulínan er lesin á tvíræðan hátt. Eining sem tilkynnir að hún sé virk er ekki sönnun eitt og sér, því aðalferlið getur verið á lífi á meðan hluturinn sem átti að binda gáttina hefur þegar gefist upp.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Sökkllistinn er sú staðreynd sem afgangur greiningarinnar hvílir á. Lestu dálkinn með staðbundnu heimilisfangi frekar en gáttina eina, því í þeim dálki birtast loopback-bind og bind á ranga tengi. Hlustari sem er til á 127.0.0.1 virkar fullkomlega og er samt ósýnilegur fartölvunni þinni.

Á hvaða heimilisfangi og heimilisfangaætt svarar sökullinn

Tvö mistök líta eins út frá biðlaranum og skýra flestar "ekki náanlegar" tilkynningar. Þjónn sem er bundinn við loopback-heimilisfangið tekur aldrei við umferð frá annarri vél, og þjónn sem er bundinn eingöngu við IPv4-heimilisfang svarar aldrei biðlara sem hringir í IPv6-heimilisfang sama hýsils. Berðu saman heimilisfangið í sökklatöflunni við heimilisfangið sem biðlarinn hringir í raun í, staf fyrir staf, áður en þú gerir þér einhverjar hugmyndir um stefnu.

Að takmarka listann við eina gátt heldur honum læsilegum þegar hýsillinn keyrir nokkrar þjónustur. sport-sían tekur gáttina ásamt flutningnum sem þú ert að prófa:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Siðadálkurinn breytir öllu svarinu

Sökklataflan lyklar á prótókoll jafnt sem gátt, og þetta eru tvær óháðar færslur. Þjónusta sem svarar TCP á 1194 segir þér ekkert um hvort eitthvað hlusti á UDP 1194, og biðlarinn mun aldrei nota nema aðra þeirra. Staðfestu hvaða flutning þjónnstillingin velur og hvaða snið biðlarans sendir, og leitaðu síðan að nákvæmlega þeirri röð.

UDP hefur aðra fellingu: óstaðfest rannsókn er ekki villa sem þjónustan verður að svara. Skönnun sem tilkynnir gáttina þögla hefur mælt varúð þjónustunnar, ekki framboð hennar, svo prófaðu með raunverulegum biðlara og sniði.

Ein tilraun, þrír staðir til að líta

Frá heimiluðum biðlara gerðu nákvæmlega eina tilraun og skrifaðu niður tímann upp á sekúndu. Lestu síðan þrjár heimildir fyrir þann glugga: netreglu eða stjórnborð veitandans, teljara eða annál eldveggs hýsilsins og eigin annál þjónustunnar. Að gera þetta einu sinni er það sem gerir frásagnirnar þrjár samanburðarhæfar, og það kostar minna en að endurtaka tilraun sem enginn skráði tímastimpli á.

Niðurstöðurnar tvær benda í gagnstæðar áttir. Ef enginn pakki náði til hýsilsins sleppir slóðin honum og hlustarinn er óviðkomandi. Ef pakkinn kom að sökklanum og þjónustan hafnaði honum er slóðin í lagi og svarið liggur í prótókolli, dulmáli eða skírteinum. Að opna gátt fyrir þjónustu sem hefur þegar tekið við tengingu gerir næstu greiningu erfiðari, ekki auðveldari.

Nefndu stigið áður en þú breytir reglu

Samningaviðræður sem hefjast og auðkenning sem mistekst eru ein bilun, og göng sem myndast á meðan framsending stíflast eru allt önnur. Að nefna stigið fyrst heldur viðgerðinni þröngri: vandamál með skírteini er ekki lagað með eldveggjarreglu, og vandamál með gagnaslóð er ekki lagað með endurræsingu.

Notaðu þröngustu greininguna sem svarar spurningunni. Tímabundin pakkaathugun á einni gátt, undir stjórn kerfisstjóra, er hæfilegt tæki; að slökkva á öllum eldveggnum er það ekki, því niðurstaðan verður ómöguleg að rekja. Skjöl ss ná yfir síurnar sem notaðar voru hér að ofan, og það er ódýrara fyrsta skref en hvers kyns fanga. Skrifaðu niður hvorri greininni þú sannaðir, og næsta tilvik hefst á þekktu svari.