OpenVPN үйде жұмыс істейді, бірақ бір желіде істемейді: UDP немесе TCP?

Бірдей профиль үйден қосылады, ал қонақүй, кампус немесе филиал желісінде тоқтап қалады. Тіркелгі деректері өзгерген жоқ, сондықтан қызықты айнымалы — жол: OpenVPN оқығанға дейін пакеттерге не болады. Төрт ықтимал себепті тексеруге болатын ретпен салыстыру сертификаттар туралы болжаудан артық. Әрқайсысы басқа із қалдырады, ал із оларды ажыратады.

Қай кезең сәтсіз аяқталғаны қай салыстырудың маңызды екенін көрсетеді

Клиент журналы қай жерге жеткеніңізді әлдеқашан жазып қойған. TLS кілт келісімі уақыт шегінде орындалмады деген жол бірінші пакет шыққанын, бірақ пайдалы жауап қайтпағанын білдіреді, бұл жолды көрсетеді. Сертификаттан бас тарту мүлдем басқаша көрінеді: жауап келеді, содан кейін нақты тексеру қатесі себебін атайды. Қайталау циклінің алдындағы соңғы жолды жазып алыңыз, өйткені желілер арасында салыстыратын мән — сол.

Түсіруді кейін емес, қайталау кезінде жасаңыз. Клиентте tcpdump -ni any udp port 1194 жауаптың мүлдем қайтатынын көрсетеді. Оны өзіңіз басқаратын сервердің WAN интерфейсінде қайталаңыз — бұл пакеттердің шеткі жаққа мүлдем жететінін ашады.

Бір жақты трафик — бұл жерде қол жетімді ең пайдалы нәтиже, өйткені ол үзілмелі шағымды тергеу бағытына айналдырады. Түсіру файлдарын сақтаңыз, өйткені сол мәселе туралы келесі хабарламаны сипаттамамен емес, дәлелмен жабу оңайырақ.

UDP сүзгілеу жабық портқа қарсы

Көптеген қолжетімділік желілері ұзақ UDP-ны күдікті санайды, кейбір ISP-лар олармен келіседі. Жабық порт клиент жағынан дәл сол үнсіздікті тудырады. Айырмашылық — таңдамалылық: сүзгі қай тағайындауларды немесе порттарды тастайтынына талғампаз, ал жабық порт сол портқа бағытталғанның бәрін қабылдамайды.

443 портындағы TCP профилі әдеттегі шешім, өйткені ол қарапайым HTTPS ағынына ұқсайды және көптеген captive порталдар мен шығу сүзгілерінен өтеді. Екі шарт орындалуы керек. Сервер proto tcp-server -мен тыңдауы керек, клиент proto tcp-client -ке сәйкес келуі керек, ал оператор сол балама эндпоинтті жариялауы керек. Жұмыс істеп тұрған UDP профилін TCP 443 деп қайта жазу арғы жақта ештеңе тыңдамаса, еш нәтиже бермейді.

Жабық порт — цензура емес, конфигурация мәселесі. Үй маршрутизаторының артындағы серверге UDP портын бағыттау қажет, ал маршрутизатордың брандмауэры оған рұқсат беруі керек. Портқа ешқашан рұқсат берілмесе, тіркелгі деректеріне қарамастан әрбір клиент келіссөзде сәтсіздікке ұшырайды, ал ақау желіге емес, серверге ереді.

Ескі протоколдар бұл өлшемде нашар көрінеді. PPTP-ге TCP 1723 плюс GRE қажет, ал GRE — порт емес, IP протоколы 47, сондықтан қарапайым порт бағыттау оны білдіре алмайды.

Пакеттерді коммутатор тастап жатқанда

Басқарылатын коммутатор туннельді әдейі тастай алады. Кейбір HPE және Aruba модельдері кеңейтілген қауіпсіздік бөлімінде UDP flood қорғанысын басқаруды ұсынады, кейде Prevent UDP Blat Attack деп белгіленеді. Бұл басқару белсенді болғанда, коммутатордың артындағы сервер ештеңеге жауап бермейді және әрбір клиент бірдей уақыттан асып кетеді. Оны өшіріп, жұмыс істеп тұрған конфигурацияны сақтау — бүкіл жөндеу, бірақ коммутатордың шынымен жолда екенін анықтағаннан кейін ғана.

Қарсы дәлел — коммутатордың тастауын провайдер блогынан ажыратады. ISP-ге билет ашпас бұрын интерфейс есептегіштерін және flood қорғаныс журналын оқыңыз. DoS немесе flood қорғанысы бар тұтынушылық маршрутизаторлар да дәл осылай сәтсіздікке ұшырайды, UDP бос тұру шектеуі қысқа кез келген аралық құрылғы да солай. Ешқашан аяқталмайтын қол алысу тастауды болжайды, ал бірнеше минут үнсіздіктен кейін өлетін туннель шектеуді болжайды.

Профильді өзгерту алдында клиент пен сервер арасындағы әрбір құрылғыны жазып шығыңыз. Дұрыс емес қабатқа қолданылған түзету келесі желіге дейін дұрыс көрінеді. Бұл тізім келесі инженерге бүкіл тергеуді қайталамай-ақ қайда қарау керектігін де айтады.

DNS ақауына ұқсайтын мекенжай қабаттасуы

10.0.0.0/8 ішінде нөмірленген қолжетімділік желісі туннель пулымен қабаттасуы мүмкін, ал resolver әдетте сол пулдың ішінде болады. Ноутбук Wi-Fi-де 10.184.178.50 сияқты мекенжайды /8 маскасымен алғанда, әрбір 10.x тағайындауы анықтама бойынша жергілікті. 10.4.0.1 үшін пакеттер содан кейін LAN-ға кетеді, туннель істеп тұрады, ал атауларды шешу сәтсіз аяқталады.

ip addr қабаттасуды бір қарағанда ашады, ал ip route get 10.4.0.1 пакеттің шын мәнінде қайда жеткізілетінін көрсетеді. Көрінетін симптом resolver ақауы болғандықтан, бұл бірнеше DNS өзгерісінен кейін де жиі сақталып қалады.

Пулды қайта нөмірлеңіз немесе сол қолжетімділік желісін қамтудан тыс ұстаңыз. Клиент жағындағы ешбір параметр қабаттасудан қалпына келтірмейді.

TCP қосалқы жол мен жолды түзетудің арасында таңдау

Жолды бақыламасаңыз және пайдаланушыларға бүгін жұмыс істеу керек болса, TCP қосалқы жолын таңдаңыз және оның шығындарын қабылдаңыз: TCP ішіндегі TCP жоғалтуы бар желілерде нашар әрекет етеді, ал қосалқы жолға өзіңіз басқаратын listener қажет. Блок өз инфрақұрылымыңызда болса, жолды түзетуді таңдаңыз, өйткені брандмауэр ережесі екінші listener-ден арзан. Қалай болса да, қабаттарды ретімен өтіңіз: байланыс, сыртқы транспорт, келіссөз, ішкі маршруттау. Сол желіде сәтсіз аяқталған кезең — маңызды жалғыз факт.

Нәтижені пайдаланушы бойынша емес, желі бойынша жазыңыз. Сол ақау туралы келесі хабарлама содан кейін сертификат теориясынан емес, белгілі кезеңнен басталады. Бұл жазба қашан да қажет болса, тұрақты екінші listener-ді де негіздейді.