1194 порты қазірдің өзінде пайдаланылуда: бұл OpenVPN сокеті кімдікі?

Бір сервер профилін екі рет іске қосыңыз, екінші процесс 1194 порты үшін мекенжай пайдаланылуда қатесімен шығады. Әдеттегі жағдайда қақтығысты диагностикалық іске қосу тудырған, ал бастапқы дана клиенттерге әлі де толық қызмет көрсетіп тұр. Бұл әңгіме осы есептердің көп бөлігін түсіндіреді және бірдеңені қайта іске қоспас бұрын оны тануға тұрарлық. Бұл шешудің ең арзан нұсқасы да.

Қате жергілікті байланысуды сипаттайды және одан басқа ештеңені. Ол провайдердің портты блоктағанына, клиенттің қате құпиясөз жібергеніне немесе сертификаттар тізбегінің бұзылғанына дәлел емес.

Нақты байланысу қатесін оқыңыз

Бұл отбасындағы екі қате әртүрлі нәрсені білдіреді және оларды шатастыру сізді қате қатпарға жібереді. «Мекенжай қазірдің өзінде пайдаланылуда» дегені — басқа сокет сіз сұраған соңғы нүктені ұстап тұр. «Мекенжай қолжетімсіз» дегені — сұралған мекенжай бұл хостта әлі жоқ, бұл дайындық мәселесі, көшірме емес.

systemctl status openvpn-server@lab --no-pager
journalctl -u openvpn-server@lab -n 20 --no-pager

Бірдеңені өзгерту алдында қате мәтінін көшіріңіз, онда аталған мекенжай мен портты қоса. Интерфейстің пайда болуын күтетін қызмет екінші қатені қайта-қайта жазады, содан кейін мекенжай пайда болғанда сәтті байланысады; бірінші қатені жазатын қызмет көшірме шешілмейінше ешқашан сәтті болмайды. Қайсысын көргеніңізді жазып қою ештеңе тұрмайды және бос интерфейс іздеуін үнемдейді.

Сокетті түгендеңіз, портты емес

Порт нөмірі толық емес түгендеу. Соңғы нүкте — тасымалдау, мекенжай тобы, жергілікті мекенжай және порт, барлығы бір желілік атау кеңістігінің ішінде. Бір нөмірдегі UDP тыңдаушысы мен TCP тыңдаушысы бөлек сокеттер, ал әртүрлі атау кеңістіктеріндегі бір нөмірдегі екі процесс ешқашан кездеспейді.

ss -lunp | grep -F ':1194'
ss -ltnp | grep -F ':1194'
ss -lunp 'sport = :1194'

Алдымен профиль шынымен пайдаланатын тасымалдауды іске қосыңыз. Содан кейін тек нөмірге емес, жергілікті мекенжай бағанына қараңыз: wildcard байланысуы барлық жергілікті мекенжайларды қамтиды, сондықтан бір нақты мекенжайды сұрайтын екінші процесс басып шығарылған жолдар өзгеше болса да онымен қақтығысуы мүмкін. Сокетті қайта пайдалану опциялары мен платформа ережелері нақты нәтижені анықтайды, сондықтан бұл әрбір орналастыруға қолданылатын ереже емес, бақылау болуы керек.

Оны қай процесс ұстап тұрғанын табыңыз

Сандық соңғы нүктелер және процесс ақпараты рұқсаттарыңыз мүмкіндік бергенде иесін анықтайды, ал сізге қажет нәрсе — иесі, бағдарлама атауы емес. Екі OpenVPN процесі әртүрлі профильдерді іске қосуы мүмкін, ал тыңдаушыны ұстап тұрған процесс ең күтпегеніңіз болуы мүмкін.

sudo ss -lunp 'sport = :1194'
sudo fuser -v -n udp 1194

Тапқаныңызды қызмет менеджерімен, контейнер орындау ортасымен немесе бұрынғы сынақтан қалған терминал процесімен салыстырыңыз. Процесс мәліметтерінің болмауы сокеттің иесі жоқтығына дәлел емес; әдетте бұл сұраудың жеткілікті рұқсатсыз орындалғанын білдіреді. Сол сияқты, тек TCP тізімі UDP қақтығысын жоймайды, сондықтан қатеде аталған тасымалдауды тексеріңіз. Тек процесс атауы қай профиль жүктелгенін ешқашан айтпайды, және дәл профиль соңғы нүктені анықтайды.

Бір ие, немесе екі жобаланған дана

Егер орналастыру бір серверді көздесе, бір өмірлік цикл иесін ұстаныңыз және оны бақылау үшін екінші көшірмені іске қосудың орнына сол дананың журналын немесе конфигурацияланған логты оқыңыз. Бақыланатын алдыңғы пландағы іске қосу шынымен қажет болғанда, басқарылатын дананы әдейі тоқтатыңыз және мұны істеу алдында ол қызмет көрсетіп отырған клиенттерді ескеріңіз.

Егер екі дана көзделсе, оларға бөлек тыңдаушылар және қалғанның бәрін бөлек беріңіз: мекенжай пулдары, виртуалды интерфейстер, маршруттау саясаты және конфигурация иелігі. Тек өзгеше порт сокеттен басқа ештеңені бөлмейді, ал екі сервер бір пул мен бір маршруттар үшін бәсекелесе береді.

Үш қысқа жолды атап өткен жөн, өйткені олар осы қате туралы әрбір талқылауда кездеседі. Кінәліге ұқсайтын кездейсоқ PID-ді өлтірмеңіз. Хабарламаны үнсіз қылу үшін сокетті бөлісуді қоспаңыз. Сервер профилін клиенттік стильдегі байланыспаған конфигурацияға ауыстырмаңыз, өйткені бұл байланысу қатесін жоғалтады; сервер бастапқы қақтығыстан гөрі диагноз қою қиынырақ жолмен қолжетімсіз болады.

Портты өзгерту заңды жауап тек жаңа тыңдаушы мақұлданған жобаның бөлігі болғанда, оның ішінде бағыттау ережесі мен клиенттің соңғы нүктесі де болғанда. Егер олар жаңартылмаса, сіз қақтығысты ешкім таба алмайтын жерге көшірдіңіз.

Бәрінен бұрын байланысуды тексеріңіз

Шектеулі түзетуден кейін көзделген дананың белсенді екенін, оның тыңдаушысы күткен тасымалдауда көрінетінін және клиент қосыла алатынын растаңыз. Сәтті байланысу тек жергілікті сокет кезеңін аяқтайды; ол аутентификация немесе туннель көтерілгеннен кейінгі трафик туралы ештеңені растамайды.

ss -lunp 'sport = :1194'
systemctl is-active openvpn-server@lab
journalctl -u openvpn-server@lab -f

Егер сокет бар болып, клиент әлі де сәтсіз болса, қалған мәселе төменде және байланысу қатесі енді тарих. Дәл осы бөлу нақты хабарламаны бірінші оқудың бүкіл мәні: бір қате, бір қатпар, бір ие. Осылай оқыңыз, сонда келесі симптом болжамнан емес, белгілі күйден басталады.