53-порттағы OpenVPN: адамдар шатастыратын үш әңгіме
Соңғы нүктенің атауын шешу, шифрланған тасымал және туннельден кейінгі DNS — бұл үш бөлек әңгіме. Портты немесе шешушіні ауыстырмас бұрын қай кезең сәтсіз аяқталғанын анықтаңыз.
VPN 53-портында бұғатталған деп айтатын есептер әртүрлі себептермен сәтсіз болатын үш бақылауды араластырады. Соңғы нүктенің атауын шешу туннель пайда болмай тұрып орындалады, шифрланған тасымал — бөлек әңгіме, ал кейін жасалатын DNS сұраулары үшіншісі. Әрқайсысының өз сәтсіздік белгісі бар және олардың тек біреуі ғана DNS-ке қатысты.
Бірдеңе өзгертудің алдында пакеттерді мақсаты бойынша бөліңіз, өйткені түзету кезеңге ілеседі.
Үш әңгіме, бір порт нөмірі
Бірінші әңгіме — соңғы нүктенің атауын іздеу: машинаңыз конфигурацияланған шешушіден vpn.example.com қайда орналасқанын сұрайды, ал бұл жауап клиент бірде-бір туннель пакетін жібермей тұрып қарапайым DNS арқылы келеді. Екіншісі — OpenVPN тасымалының өзі, ол іздеу берген мекенжайға профиль атайтын хаттама мен порт бойынша қосылады. Үшіншісі туннель көтерілгеннен кейін, қосымшалар атауларды сұрағанда және жіберілген шешуші параметрлері кім жауап беретінін шешкенде орын алады.
Бұл үшеуі бір-бірінен тәуелсіз сәтті немесе сәтсіз болуы мүмкін. Клиент өз соңғы нүктесін мінсіз шеше алады, бірақ тыңдаушыға жете алмауы мүмкін, және DNS параметрлері ешқашан келмегендіктен барлық ішкі атау іздеуі сәтсіз болып жатқанда туннель орната алады.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Кестені сипаттама ретінде емес, тексеру тізімі ретінде оқыңыз. Егер соңғы нүктенің атауы шешілмесе, кейінгі ештеңе жұмыс істей алмайды және туннель ешқашан басталмайды.
Порт нөмірі қосымшаны атамайды
53-порт дәстүр бойынша DNS тасымалдайды, ал OpenVPN операторы сол жерде тыңдаушыны да жариялай алады, сондықтан бұл нөмір нашар сәйкестендіргіш. UDP 53-тегі OpenVPN сессиясы әлі де OpenVPN сессиясы, ал 53-порттағы серверге жіберілген DNS сұрауы туннельге рұқсат етілген-етілмегені туралы ештеңе айтпайды. Профильдің proto және remote жолдары сыртқы соңғы нүктені анықтайды; порт нөмірі өздігінен ештеңе анықтамайды.
Диагностика кезінде бұл екі жаққа да әсер етеді: 53-портқа жалпы UDP сынағы порттың жауап беретінін дәлелдейді, VPN қызметінің жауап беретінін емес. Нақты клиентпен және нақты профильмен сынаңыз, өйткені тек сол ғана қызмет күтетін қол алысуды жаттықтырады.
Желіні кінәламас бұрын тыңдаушыны дәлелдеңіз
Серверде ss -lunp | grep 53 арқылы не байланысқанын тексеріп, оны профильдің хаттамасымен және портымен салыстырыңыз. Клиент желісінен клиентті жоғары егжей-тегжеймен іске қосыңыз, сонда журнал қай мекенжай мен тасымалды байқағанын көрсетеді. Егер сервер тыңдап тұрса, ал клиенттің пакеттері жетпесе, оларды жол немесе саясат қабылдамайды, және бұл желі иесімен әңгіме, портты ауыстыруға себеп емес.
Басқа порт қызмет шынымен сол жерде тыңдап, орналастыру рұқсат еткенде ғана көмектеседі. Басқарылатын желінің сүзгілеуінен жалтару үшін тыңдаушыны жылжыту — саясат шешімі, ақаулықты жою қадамы емес. Қызметті өзгертудің алдында желі иесінен неге рұқсат етілгенін сұраңыз, өйткені саясатты бұзатын айналма жол кейін бәрібір жабылады. Осы жауапты профильдің қасына жазып қойыңыз, келесі адам өтінішті қайталамасын.
Туннельден кейінгі DNS-ті бөлек тексеріңіз
Туннель көтерілген соң VPN интерфейсіндегі шешуші күйін қарап шығып, бір ішкі және бір жария атауды сұраңыз. Егер туннель трафикті тасымалдап жатқанда ішкі атаулар сәтсіз болса, жіберілген DNS параметрлері қолданылмаған, бұл тасымал емес, клиент интеграциясының мәселесі. Егер жария атаулар сәтсіз болып, ішкі атаулар жұмыс істесе, бөлінген туннель саясаты өзіне конфигурацияланғанды істеп тұр.
DNS өзгерістерін шешуші иесінде қалдырыңыз. Бір сынақтан өту үшін басқарылатын шешуші конфигурациясын қайта жазу машинадағы қалғанның бәрі үшін жеке атауларды бұзуы мүмкін. Егер туннель шешуші жіберсе, ал клиент оны елемесе, басқа жерге статикалық жазба қосудың орнына клиент интеграциясын түзетіңіз. Статикалық жазбалар ақаулықты біреу желіні ауыстырғанша жасырады. Қай шешушінің қай атау кеңістігіне жауап беруі керектігін жазып қойыңыз.