VPN-ის პორტი ჩუმადაა? მსმენელი, მიბმის მისამართი თუ ჰოსტის ფაირვოლი

VPN თავის პორტზე არაფერს პასუხობს და ორი შესაძლო მიზეზი საპირისპირო შეკეთებას მოითხოვს: ან არცერთ პროცესს გაუხსნია სოკეტი, ან სოკეტი არსებობს და მანქანებს შორის რაღაც პაკეტებს აჩერებს. ერთი ბრძანება წყვეტს ამ კითხვის პირველ ნახევარს, ამიტომ ის ნებისმიერ ფაირვოლის წესზე ადრე მოდის. ქვემოთ მოცემული რიგი ყოველ ნაბიჯზე ერთ ახსნას შლის და ახალ ვარაუდს არ ამატებს. სწორედ ამ ორს შორის გამოცნობა აქცევს ათწუთიან დიაგნოსტიკას მთელ საღამოდ.

ჩათვალეთ, რომ სერვერზე შესვლა შეგიძლიათ და რომ კლიენტი ნამდვილი პროფილია და არა სკანერი. ორივე დაშვება მნიშვნელოვანია, რადგან ზოგადი ზონდი ვერ უპასუხებს პროტოკოლისთვის დამახასიათებელ კითხვას.

საერთოდ არსებობს სოკეტი

დაიწყეთ იმით, რასაც სერვისი საკუთარ თავზე ამბობს: ავიდა თუ არა და, უფრო სასარგებლო, რა იყო მისი პირველი გაშვების შეცდომა. ანალიზის მარცხი, დაკარგული გასაღები ან მიბმის შეცდომა ხელს უშლის მსმენელის არსებობას, და პროცესი შეიძლება იმდენად ჩუმად გავიდეს, რომ სტატუსის სტრიქონი ორაზროვნად იკითხება. აქტიურად რომ აცხადებს თავს, ის ერთეული თავისთავად მტკიცებულება არ არის, რადგან მთავარი პროცესი შეიძლება ცოცხალი იყოს, მაშინ როცა პორტის მიმბმელი კომპონენტი უკვე დანებებულია.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

სოკეტების სია ის ფაქტია, რომელზეც დანარჩენი დიაგნოსტიკა დგას. წაიკითხეთ ლოკალური მისამართის სვეტი და არა მხოლოდ პორტი, რადგან სწორედ ამ სვეტში ჩანს loopback-ზე მიბმა და არასწორ ინტერფეისზე მიბმა. 127.0.0.1-ზე არსებული მსმენელი სრულყოფილად მუშაობს და მაინც უხილავია თქვენი ლეპტოპისთვის.

რომელ მისამართსა და რომელ ოჯახზე პასუხობს სოკეტი

ორი შეცდომა კლიენტის მხრიდან ერთნაირად გამოიყურება და „მიუწვდომელი“ შეტყობინებების უმეტესობას ხსნის. loopback მისამართზე მიბმული სერვერი არასდროს იღებს ტრაფიკს სხვა მანქანიდან, და მხოლოდ IPv4 მისამართზე მიბმული სერვერი არასდროს პასუხობს კლიენტს, რომელიც იმავე ჰოსტის IPv6 მისამართს აკრეფს. სანამ პოლიტიკაზე რაიმეს ივარაუდებთ, შეადარეთ სოკეტების ცხრილში მოცემული მისამართი იმ მისამართს, რომელსაც კლიენტი რეალურად აკრეფს, ასო-ასო.

სიის ერთ პორტზე შეზღუდვა კითხვადობას ინარჩუნებს, როცა ჰოსტი რამდენიმე სერვისს უშვებს. sport ფილტრი პორტს იღებს იმ ტრანსპორტთან ერთად, რომელსაც ამოწმებთ:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

პროტოკოლის სვეტი მთელ პასუხს ცვლის

სოკეტების ცხრილი პორტთან ერთად პროტოკოლითაც ინდექსირდება და ეს ორი დამოუკიდებელი ჩანაწერია. 1194-ზე TCP-ზე მპასუხობი სერვისი არაფერს ამბობს იმაზე, უსმენს თუ არა რამე UDP 1194-ზე, და კლიენტი ყოველთვის მხოლოდ ერთ მათგანს გამოიყენებს. დაადასტურეთ, რომელ ტრანსპორტს ირჩევს სერვერის კონფიგურაცია და რომელს აგზავნის კლიენტის პროფილი, შემდეგ მოძებნეთ ზუსტად ის სტრიქონი.

UDP-ს მეორე ნაკეცი აქვს: აუთენტიფიკაციის გარეშე ზონდი არ არის შეცდომა, რომელზეც სერვისი ვალდებულია უპასუხოს. სკანირებამ, რომელიც პორტს ჩუმად აცხადებს, სერვისის თავშეკავება გაზომა და არა მისი ხელმისაწვდომობა, ამიტომ ნამდვილი კლიენტითა და პროფილით შეამოწმეთ.

ერთი ცდა, სამი ადგილი საყურებლად

ნებადართული კლიენტიდან ზუსტად ერთი ცდა გააკეთეთ და დრო წამამდე ჩაწერეთ. შემდეგ ამ ფანჯრისთვის სამი წყარო წაიკითხეთ: პროვაიდერის ქსელური წესი ან კონსოლი, ჰოსტის ფაირვოლის მრიცხველები ან ჟურნალი და თავად სერვისის ჟურნალი. ერთხელ გაკეთებაა ის, რაც სამ ჩვენებას შედარებადს ხდის, და ის უფრო იაფია, ვიდრე ცდის გამეორება, რომლის დროის ბეჭედი არავის ჩაუწერია.

ორი შედეგი საპირისპირო მიმართულებებს მიუთითებს. თუ ვერც ერთი პაკეტი ვერ მიაღწია ჰოსტამდე, გზა მას ყრის და მსმენელი უმნიშვნელოა. თუ პაკეტი სოკეტამდე მივიდა და სერვისმა ის უარყო, გზა რიგზეა და პასუხი პროტოკოლში, კრიპტოგრაფიაში ან მონაცემებშია. პორტის გახსნა სერვისისთვის, რომელმაც უკვე მიიღო კავშირი, შემდეგ დიაგნოსტიკას ართულებს და არა აადვილებს.

დაასახელეთ ეტაპი სანამ წესს შეცვლით

მოლაპარაკება, რომელიც იწყება, და აუთენტიფიკაცია, რომელიც ვარდება, ერთი ხარვეზია, ხოლო გვირაბი, რომელიც მაშინ მყარდება, როცა გადაცემა ჩერდება, სრულიად სხვაა. ეტაპის წინასწარ დასახელება შეკეთებას ვიწროდ ინახავს: მონაცემების პრობლემას ფაირვოლის წესი არ აგვარებს, ხოლო მონაცემთა გზის პრობლემას გადატვირთვა არ აგვარებს.

გამოიყენეთ ყველაზე ვიწრო დიაგნოსტიკა, რომელიც კითხვას პასუხობს. ერთ პორტზე პაკეტების დროებითი დაკვირვება, ადმინისტრატორის კონტროლქვეშ, გონივრული ინსტრუმენტია; მთელი ფაირვოლის გამორთვა არა, რადგან შედეგის მიკუთვნება შეუძლებელი ხდება. ss-ის დოკუმენტაცია ზემოთ გამოყენებულ ფილტრებს მოიცავს და ეს ნებისმიერ ჩაჭერაზე იაფი პირველი ნაბიჯია. ჩაწერეთ, რომელი ორი შტოდან რომელი დაამტკიცეთ, და შემდეგი შემთხვევა ცნობილი პასუხიდან დაიწყება.