VPN порты үнсіз бе? Тыңдаушы, байлау мекенжайы немесе хосттың фаерволы

VPN өз портында ештеңеге жауап бермейді, ал екі ықтимал себеп қарама-қарсы жөндеуді талап етеді: не ешбір процесс сокетті ашпаған, не сокет бар және машиналар арасындағы бірдеңе пакеттерді тоқтатып отыр. Бір команда осы сұрақтың бірінші жартысын шешеді, сондықтан ол кез келген фаервол ережесінен бұрын тұрады. Төмендегі реттілік әр қадамда бір түсініктемені алып тастайды, жаңа болжам қоспайды. Осы екеуінің арасында болжау жасау он минуттық диагностиканы бүкіл кешке айналдырады.

Серверге кіре аласыз және клиент сканер емес, нақты профиль деп есептеңіз. Екі болжам да маңызды, өйткені жалпы зонд протоколға тән сұраққа жауап бере алмайды.

Сокет мүлдем бар ма

Қызметтің өзі туралы айтқанынан бастаңыз: ол көтерілді ме және, пайдалырақ, оның бірінші іске қосылу қатесі қандай болды. Талдау сәтсіздігі, жоғалған кілт немесе байлау қатесі тыңдаушының пайда болуына жол бермейді, ал процесс соншалықты тыныш шығуы мүмкін, күй жолы екіұшты оқылады. Өзін белсенді деп хабарлаған бірлік өздігінен дәлел емес, өйткені негізгі процесс тірі болуы мүмкін, ал портты байлауға тиіс құрамдас әлдеқашан бас тартқан болуы мүмкін.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Сокеттер тізімі қалған диагностика тірелетін факт. Тек портты емес, жергілікті мекенжай бағанын оқыңыз, өйткені дәл сол бағанда loopback-ке байлау және қате интерфейске байлау көрінеді. 127.0.0.1-де бар тыңдаушы мінсіз жұмыс істейді және бәрібір ноутбуғыңызға көрінбейді.

Сокет қай мекенжай мен қай отбасында жауап береді

Екі қате клиент жағынан бірдей көрінеді және «қолжетімсіз» хабарламаларының көбін түсіндіреді. Loopback мекенжайына байланған сервер басқа машинадан трафикті ешқашан қабылдамайды, ал тек IPv4 мекенжайына байланған сервер сол хосттың IPv6 мекенжайын теретін клиентке ешқашан жауап бермейді. Саясат туралы бірдеңе болжамас бұрын сокеттер кестесіндегі мекенжайды клиент шын мәнінде теретін мекенжаймен әріптеп салыстырыңыз.

Тізімді бір портпен шектеу хост бірнеше қызмет іске қосқанда оны оқылымды ұстайды. sport сүзгісі портты сіз тексеретін тасымалмен бірге алады:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Протокол бағаны бүкіл жауапты өзгертеді

Сокеттер кестесі портпен қатар протокол бойынша да индекстеледі және бұл екі тәуелсіз жазба. 1194-те TCP-ге жауап беретін қызмет UDP 1194-те бірдеңе тыңдап жатқаны туралы ештеңе айтпайды, ал клиент әрқашан олардың тек біреуін ғана пайдаланады. Сервер конфигурациясы қай тасымалды таңдайтынын және клиент профилі қайсын жіберетінін растаңыз, содан кейін дәл сол жолды іздеңіз.

UDP-нің екінші қатпары бар: аутентификацияланбаған зонд қызмет жауап беруге міндетті қате емес. Портты үнсіз деп хабарлаған скан қызметтің қолжетімділігін емес, оның ұстамдылығын өлшеді, сондықтан нақты клиент пен профильмен тексеріңіз.

Бір әрекет, қарайтын үш орын

Рұқсат етілген клиенттен дәл бір әрекет жасап, уақытты секундқа дейін жазып алыңыз. Содан кейін сол терезе үшін үш дереккөзді оқыңыз: провайдердің желілік ережесі немесе консолі, хосттың фаервол санағыштары немесе журналы және қызметтің өз журналы. Бір рет жасау — үш куәлікті салыстырмалы ететін нәрсе, және уақыт белгісін ешкім жазбаған әрекетті қайталаудан арзан.

Екі нәтиже қарама-қарсы бағытты көрсетеді. Егер ешбір пакет хостқа жетпесе, жол оны тастап отыр және тыңдаушы маңызсыз. Егер пакет сокетке жетіп, қызмет оны қабылдамаса, жол дұрыс және жауап протоколда, криптографияда немесе тіркелгі деректерінде. Қосылымды әлдеқашан қабылдаған қызмет үшін порт ашу келесі диагностиканы жеңілдетпейді, қиындатады.

Ережені өзгертуден бұрын кезеңді атаңыз

Басталған келіссөз бен сәтсіз аутентификация — бір ақау, ал жіберу тұрып қалғанда орнаған туннель мүлдем басқа ақау. Кезеңді алдын ала атау жөндеуді тар ұстайды: тіркелгі деректерінің мәселесін фаервол ережесі шешпейді, ал деректер жолының мәселесін қайта іске қосу шешпейді.

Сұраққа жауап беретін ең тар диагностиканы қолданыңыз. Бір портта әкімші бақылауындағы уақытша пакет бақылауы орынды құрал; бүкіл фаерволды өшіру олай емес, өйткені нәтижені бірдеңеге телу мүмкін болмай қалады. ss құжаттамасы жоғарыда қолданылған сүзгілерді қамтиды және кез келген ұстаудан арзан бірінші қадам. Екі тармақтың қайсын дәлелдегеніңізді жазып алыңыз, келесі оқиға белгілі жауаптан басталады.