ನಿಮ್ಮ OpenVPN ಕ್ಲೈಂಟ್ nobind ಅಥವಾ ಸ್ಥಿರ ಪೋರ್ಟ್ ಬಳಸಬೇಕೇ?

ಒಂದೇ ಸಾಲಿನಿಂದ ಭಿನ್ನವಾಗಿರುವ ಎರಡು ಪ್ರೊಫೈಲ್ಗಳು ಅದೇ ಹೋಸ್ಟ್ನಲ್ಲಿ ಎರಡನೇ ಕ್ಲೈಂಟ್ ಪ್ರಾರಂಭವಾದ ಕ್ಷಣವೇ ವಿಭಿನ್ನವಾಗಿ ವರ್ತಿಸುತ್ತವೆ. ಒಂದು nobind ಅನ್ನು ಹೊಂದಿದ್ದು ಕರ್ನೆಲ್ ನೀಡುವ ಯಾವುದೇ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ; ಇನ್ನೊಂದು 1194 ಅನ್ನು ಕಾಯ್ದಿರಿಸುತ್ತದೆ, ಮತ್ತು ಎರಡನೇ ಇನ್ಸ್ಟೆನ್ಸ್ ಈಗಾಗಲೇ ಬಳಕೆಯಲ್ಲಿರುವ ವಿಳಾಸದೊಂದಿಗೆ ನಿಲ್ಲುತ್ತದೆ. ಆ ಸಾಲು ಮೂಲ ಪೋರ್ಟ್ ಯಾರು ಆಯ್ಕೆ ಮಾಡುತ್ತಾರೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಅದು ಮತ್ತೆ ಪ್ರೊಫೈಲ್ ಯಂತ್ರದಲ್ಲಿನ ಬೇರೆ ಯಾವುದರೊಂದಿಗೂ ಸಹಬಾಳ್ವೆ ನಡೆಸಬಹುದೇ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಮೂರು ಪ್ರಶ್ನೆಗಳು ಇದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ, ಮತ್ತು ಮೊದಲನೆಯದು ಉಳಿದ ಎರಡನ್ನು ತಲುಪುವ ಮೊದಲೇ ಹೆಚ್ಚಿನ ಪ್ರೊಫೈಲ್ಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ.

nobind ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಬಿಟ್ಟುಬಿಡುತ್ತದೆ

ಡೀಫಾಲ್ಟ್ ಆಗಿ ಕ್ಲೈಂಟ್ ಕರೆ ಮಾಡುವ ಮೊದಲು ಸ್ಥಳೀಯ ಸಾಕೆಟ್ ಅನ್ನು ಬಂಧಿಸುತ್ತದೆ, ಮತ್ತು ಪ್ರೊಫೈಲ್ ಬೇರೆ ಹೇಳದಿದ್ದರೆ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ 1194 ಆಗಿರುತ್ತದೆ. nobind ಆ ಕಾಯ್ದಿರಿಸುವಿಕೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಂಪರ್ಕದ ಸಮಯದಲ್ಲಿ ಸ್ಟಾಕ್ ಬಳಕೆಯಾಗದ ಪೋರ್ಟ್ ಅನ್ನು ಹಂಚುತ್ತದೆ. ಇದು ಡೀಫಾಲ್ಟ್ ಅಲ್ಲ, ವಿನಾಯಿತಿ, ಮತ್ತು ಸಾಲಿಲ್ಲದ ಕ್ಲೈಂಟ್ 1194 ಅನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದಲೇ ಪಿನ್ ಮಾಡದ ಎರಡನೇ ಇನ್ಸ್ಟೆನ್ಸ್ ಘರ್ಷಿಸುತ್ತದೆ. ವಿತರಿಸಲಾದ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ಗಳ ಹೆಚ್ಚಿನವು ಆ ಕಾರಣಕ್ಕಾಗಿ ಈ ಸೂಚನೆಯನ್ನು ಹೊಂದಿವೆ, ಮತ್ತು ಮಾದರಿ ಫೈಲ್ ಏನನ್ನಾದರೂ ಮಾಡುವುದು ಯಾಂತ್ರಿಕೆ ಡೀಫಾಲ್ಟ್ ಆಗಿ ಅದನ್ನೇ ಮಾಡುವುದಕ್ಕೆ ಸಮವಲ್ಲ.

ಬದಲಾಗದಿರುವುದು ದೂರದ ಬದಿ. ಸರ್ವರ್ ಇನ್ನೂ ಪ್ರೊಫೈಲ್ ಹೇಳುವಲ್ಲಿ ಕೇಳುತ್ತದೆ, ಮತ್ತು ಸಂರಚನೆಯಲ್ಲಿ ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್ ಇನ್ನೂ ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್. ಕ್ರಿಯಾಶೀಲ ಮೂಲ ಪೋರ್ಟ್ ನಿಮ್ಮ ಸ್ವಂತ ಸಾಕೆಟ್ನ ಮರಳುವ ವಿಳಾಸವನ್ನು ಬದಲಿಸುತ್ತದೆ, ಸರ್ವರ್ನದನ್ನು ಏನೂ ಮಾಡುವುದಿಲ್ಲ.

ಇದು ಏನನ್ನೂ ಮರೆಮಾಡುವುದಿಲ್ಲ. ನಿಮ್ಮ ಸಾರ್ವಜನಿಕ ವಿಳಾಸ ಮಾರ್ಗವು ಅದನ್ನು ಅನುವಾದಿಸುವುದೇ ಆಗಿದೆ, ಪ್ಯಾಕೆಟ್ ಇನ್ನೂ ಸ್ಥಳೀಯ ಜಾಲವನ್ನು ದಾಟುತ್ತದೆ, ಮತ್ತು ಆ ಜಾಲವನ್ನು ನಡೆಸುವವರು ಇನ್ನೂ ಹರಿವನ್ನು ನೋಡುತ್ತಾರೆ. nobind ಗೋಪ್ಯತೆಯ ವೈಶಿಷ್ಟ್ಯವೂ ಅಲ್ಲ, ಫೈರ್ವಾಲ್ ತಪ್ಪಿಸುವ ದಾರಿಯೂ ಅಲ್ಲ.

ಇದನ್ನು ನಿರ್ಧರಿಸುವ ಮೂರು ಷರತ್ತುಗಳು

ಒಂದು ಪ್ರಶ್ನೆ ಉಳಿದ ಎರಡನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಏನನ್ನಾದರೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ಅದಕ್ಕೆ ಉತ್ತರಿಸಿ. ಸಹಚರ ಹೊರಕ್ಕೆ ಕರೆ ಮಾಡಿದರೆ, ಉಳಿದ ಪ್ರಶ್ನೆಗಳು ಈಗಾಗಲೇ ತೆಗೆದುಕೊಂಡ ನಿರ್ಣಯವನ್ನು ಮಾತ್ರ ಸೂಕ್ಷ್ಮಗೊಳಿಸುತ್ತವೆ. ಇದು ಒಳಬರುವ ಸಂಪರ್ಕಗಳನ್ನು ಸ್ವೀಕರಿಸಿದರೆ, ಸ್ಥಳೀಯ ಪೋರ್ಟ್ನ ಯಾವುದೇ ಹೊಂದಾಣಿಕೆ ಅದನ್ನು ತಲುಪಬಹುದಾದಂತೆ ಮಾಡುವುದಿಲ್ಲ.

ಈ ಸಹಚರ ಸಂಪರ್ಕವನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆಯೇ? ಹೊರಕ್ಕೆ ಕರೆ ಮಾಡಿದರೆ, ಕ್ರಿಯಾಶೀಲ ಮೂಲ ಪೋರ್ಟ್ ಹಾನಿಕರವಲ್ಲ ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಉತ್ತಮ, ಏಕೆಂದರೆ ಉತ್ತರ ಅದೇ ಹರಿವಿನಲ್ಲಿ ಹಿಂತಿರುಗುತ್ತದೆ. ಒಳಬರುವ ಸಂಪರ್ಕಗಳಿಗೆ ಕಾಯುತ್ತಿದ್ದರೆ, ಮುಂದೆ ಏನಾದರೂ ಪೋರ್ಟ್ ಅನ್ನು ಪ್ರಕಟಿಸದಿದ್ದರೆ ಕ್ರಿಯಾಶೀಲ ಪೋರ್ಟ್ ಅದನ್ನು ತಲುಪಲಾಗದಂತೆ ಮಾಡುತ್ತದೆ. ಆ ಒಂದೇ ಉತ್ತರ ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಪ್ರತಿ ಸರ್ವರ್ ಪ್ರೊಫೈಲ್ನಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ.

ಮಾರ್ಗ ಮೂಲ ಪೋರ್ಟ್ನಲ್ಲಿ ಫಿಲ್ಟರ್ ಮಾಡುತ್ತದೆಯೇ? ಒಂದು ತಿಳಿದಿರುವ ಪೋರ್ಟ್ಗಾಗಿ ಬರೆದ ಕಟ್ಟುನಿಟ್ಟಿನ ನಿಯಮ ಸ್ಪಷ್ಟ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಅನ್ನು ಒತ್ತಾಯಿಸುತ್ತದೆ, ಮತ್ತು ಪ್ರೊಫೈಲ್ ಯಾವ ನಿಯಮವನ್ನು ಪೂರೈಸುತ್ತದೆ ಎಂಬುದನ್ನು ದಾಖಲಿಸಬೇಕು. ಹೆಚ್ಚಿನ ಜಾಲಗಳು ಗಮ್ಯಸ್ಥಾನದಲ್ಲಿ ಮಾತ್ರ ಫಿಲ್ಟರ್ ಮಾಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಈ ಷರತ್ತು ಮೊದಲನೆಯದಕ್ಕಿಂತ ಅಪರೂಪ. ಅದು ಅನ್ವಯವಾಗುವಲ್ಲಿ, ಕ್ರಿಯಾಶೀಲ ಪೋರ್ಟ್ನ ಆದ್ಯತೆಯನ್ನು ಮೀರುತ್ತದೆ.

ಹಲವು ಇನ್ಸ್ಟೆನ್ಸ್ಗಳು ಹೋಸ್ಟ್ ಹಂಚಿಕೊಳ್ಳುತ್ತವೆಯೇ? ಒಂದೇ ಸ್ಥಿರ ಪೋರ್ಟ್ ಅವುಗಳಲ್ಲಿ ಎರಡನ್ನು ಪೂರೈಸಲಾರದು, ಮತ್ತು ಮರುಪ್ರಾರಂಭಿಸಿದ ಇನ್ಸ್ಟೆನ್ಸ್ 1194 ಇನ್ನೂ ಮುಚ್ಚುವ ಸ್ಥಿತಿಯಲ್ಲಿರುವುದನ್ನು ಕಾಣಬಹುದು. ಕ್ರಿಯಾಶೀಲ ಪೋರ್ಟ್ಗಳು ಬೇರೆ ಏನನ್ನೂ ಬದಲಿಸದೆ ಆ ಘರ್ಷಣೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತವೆ. ಇದಕ್ಕೆ ವಿಶ್ವಾಸದಿಂದ ಉತ್ತರಿಸಲಾಗದಿದ್ದರೆ, ಹೌದು ಎಂದು ಊಹಿಸಿ ಮತ್ತು ಕರ್ನೆಲ್ ಆಯ್ಕೆ ಮಾಡಲಿ.

ಪಿನ್ ಮಾಡಿದ ಪೋರ್ಟ್ ಸರಿಯಾದ ಉತ್ತರವಾಗುವಲ್ಲಿ

ಕೆಲವು ಜಾಲಗಳು ಗಮ್ಯಸ್ಥಾನದೊಂದಿಗೆ ಮೂಲ ಪೋರ್ಟ್ನಲ್ಲೂ ಫಿಲ್ಟರ್ ಮಾಡುತ್ತವೆ, ಆದ್ದರಿಂದ ನಿರ್ವಾಹಕರು ಒಂದು ತಿಳಿದಿರುವ ಪೋರ್ಟ್ನಿಂದ ಮಾತ್ರ ಸಂಚಾರವನ್ನು ಹಾದುಹೋಗಿಸುವ ನಿಯಮ ಬರೆದಿರಬಹುದು. ಆಗ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಪಿನ್ ಮಾಡುವುದು ಸರಿ, ಮತ್ತು ಪ್ರೊಫೈಲ್ ಪೂರೈಸುವ ನಿಯಮವನ್ನು ಹೆಸರಿಸುವ ಟೀಕೆಯನ್ನು ಹೊಂದಿರಬೇಕು. ಸರ್ವರ್ ಪೋರ್ಟ್ನೊಂದಿಗೆ ಸಮಮಿತಿಗಾಗಿ ಪಿನ್ ಮಾಡುವುದು ಕಾರಣವಲ್ಲ, ಏಕೆಂದರೆ ಆ ಎರಡು ಸಂಖ್ಯೆಗಳಿಗೆ ಒಂದಕ್ಕೊಂದು ಸಂಬಂಧವಿಲ್ಲ. ಪಿನ್ ಟೆಂಪ್ಲೇಟ್ನಲ್ಲಿ ಇತ್ತು ಎಂಬ ಕಾರಣಕ್ಕೆ ಮಾತ್ರ ಇದ್ದರೆ, ಅದನ್ನು ಅಳಿಸಿ.

ಇಲ್ಲದಿದ್ದರೆ ಪಿನ್ ಮಾಡಿದ ಪೋರ್ಟ್ ತೊಂದರೆ ಕೊಂಡುಕೊಳ್ಳುತ್ತದೆ: ಒಂದೇ ಯಂತ್ರದಲ್ಲಿ ಎರಡು ಕ್ಲೈಂಟ್ಗಳು ಎರಡೂ 1194 ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳಲಾರವು, ಮತ್ತು ಎರಡನೆಯದು ಪ್ರೊಫೈಲ್ಗಲ್ಲ, ಪೋರ್ಟ್ಗೆ ಸೂಚಿಸುವ ದೋಷದೊಂದಿಗೆ ವಿಫಲವಾಗುತ್ತದೆ. ತ್ವರಿತವಾಗಿ ಮರುಪ್ರಾರಂಭವಾಗುವ ಕಂಟೇನರ್ ಅದೇ ಗೋಡೆಗೆ ಬಡಿಯುತ್ತದೆ. ಪರಿಹಾರ ವಿತರಿಸಿದ ಪ್ರೊಫೈಲ್ಗಳಲ್ಲಿ ಈಗಾಗಲೇ ಇದ್ದ ಸೂಚನೆ.

ಸರ್ವರ್ ಮತ್ತು ಕ್ಲೈಂಟ್ ಸಮಮಿತವಲ್ಲ

OpenVPN 2.6 ಕೈಪಿಡಿ ಅನ್ನು nobind ಪಕ್ಕದಲ್ಲಿ lport ಇಡುತ್ತದೆ, ಇದು ಒಂದೇ ಸಾಲಿನ ವಾದ: ಒಂದು ಆಯ್ಕೆ ಕರ್ನೆಲ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಇನ್ನೊಂದು ನೀವು ಮಾಡುತ್ತೀರಿ ಎಂದು. ಕ್ರಿಯಾಶೀಲ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಹೊರಕ್ಕೆ ಕರೆ ಮಾಡುವ ಸಹಚರಕ್ಕೆ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಏಕೆಂದರೆ ಉತ್ತರಿಸುವ ಬದಿ ಪೋರ್ಟ್ ಅನ್ನು ಮೊದಲೇ ತಿಳಿಯಲಾರದು. ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಸರ್ವರ್ಗೆ ನಕಲಿಸುವುದು ಯಾರೂ ತಲುಪಲಾಗದ ಕೇಳುಗನನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

ಹಲವು ಜಾಲ ಇಂಟರ್ಫೇಸ್ಗಳಿರುವ ಹೋಸ್ಟ್ನಲ್ಲಿ ವಿಳಾಸ ಪೋರ್ಟ್ಗಿಂತ ಪ್ರತ್ಯೇಕ ನಿರ್ಣಯ. ನಿರ್ದಿಷ್ಟ ಸ್ಥಳೀಯ ವಿಳಾಸವನ್ನು ಬಂಧಿಸುವುದು ಮತ್ತು ನಿರ್ದಿಷ್ಟ ಪೋರ್ಟ್ ಬಂಧಿಸುವುದು ಎರಡು ವಿಭಿನ್ನ ಸೆಟ್ಟಿಂಗ್ಗಳು, ಮತ್ತು ಎರಡು ಮೇಲ್ಮುಖ ಕೊಂಡಿಗಳಿರುವ ಸರ್ವರ್ ಸಾಮಾನ್ಯವಾಗಿ ಎರಡನ್ನೂ ಪಿನ್ ಮಾಡುತ್ತದೆ. ಎರಡನ್ನೂ ಪಿನ್ ಮಾಡುವ ಕ್ಲೈಂಟ್ ಯಾವುದೇ ಲಾಭವಿಲ್ಲದೆ ಅದೇ ಬಿಗಿತವನ್ನು ತೆಗೆದುಕೊಂಡಿದೆ.

ಸಾರಾಂಶ ಪಾತ್ರಗಳ ಬಗ್ಗೆ, ಭದ್ರತೆಯ ಬಗ್ಗೆ ಅಲ್ಲ: ಹೊರಕ್ಕೆ ಕರೆ ಮಾಡುವವರು ತಮ್ಮ ಮೂಲದ ಬಗ್ಗೆ ಹೊಂದಿಕೊಳ್ಳಬಹುದು, ಮತ್ತು ಉತ್ತರಿಸುವವರು ಹಾಗೆ ಮಾಡಲಾರರು. ಯಾವ ಆಯ್ಕೆಯೂ ಇನ್ನೊಂದು ಬದಿ ನಿಮ್ಮ ಗುರುತಿನ ಬಗ್ಗೆ ತಿಳಿಯುವುದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ. ಆದ್ದರಿಂದಲೇ ಈ ಸೂಚನೆ ಕ್ಲೈಂಟ್ ಮಾದರಿಗಳಲ್ಲಿ ಕಾಣಿಸುತ್ತದೆ ಮತ್ತು ಸರ್ವರ್ ಮಾದರಿಗಳಲ್ಲಿ ಬಹುತೇಕ ಇರುವುದಿಲ್ಲ.

ಕರ್ನೆಲ್ ಆಯ್ಕೆ ಮಾಡಿದ ಪೋರ್ಟ್ ಪರಿಶೀಲಿಸಿ

ಸಂಪರ್ಕಿಸಿದ ನಂತರ ಸಂರಚನೆಯಲ್ಲ, ಸಾಕೆಟ್ ಓದಿ, ಏಕೆಂದರೆ ಸಂರಚನೆ ಉದ್ದೇಶವನ್ನು ಹೇಳುತ್ತದೆ ಮತ್ತು ಸಾಕೆಟ್ ಏನಾಯಿತು ಎಂಬುದನ್ನು ಹೇಳುತ್ತದೆ. ದಾಖಲಿಸಲು ಯೋಗ್ಯವಾದ ಸಂಗತಿಗಳು ಸ್ಥಳೀಯ ಪೋರ್ಟ್, ದೂರದ ಅಂತ್ಯಬಿಂದು, ಮತ್ತು ಇನ್ನೂ ಏನಾದರೂ ಕೇಳುತ್ತಿದೆಯೇ ಎಂಬುದು. Linux ಹೋಸ್ಟ್ನಲ್ಲಿ ಮೂರೂ ಒಂದು ಆದೇಶದ ದೂರದಲ್ಲಿವೆ.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

nobind ಕ್ಲೈಂಟ್ ಹೆಚ್ಚಿನ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಮತ್ತು ಸಂರಚಿತ ದೂರದ ಪೋರ್ಟ್ ತೋರಿಸುತ್ತದೆ, ಇದು ನಿರೀಕ್ಷಿತ ರೂಪ. ಸರ್ವರ್ ತನ್ನ ಸಂರಚಿತ ಪೋರ್ಟ್ನಲ್ಲಿ ಕೇಳುತ್ತಿರುವ ಸಾಕೆಟ್ ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಸಾಕೆಟ್ ಇಲ್ಲದಿದ್ದರೆ ಪ್ರೊಫೈಲ್ ಕೇಳುಗನಲ್ಲ ಅಥವಾ ಬಂಧಿಸಲು ವಿಫಲವಾಯಿತು. ಹರಿವಿದ್ದು ಪ್ಯಾಕೆಟ್ಗಳು ಹಿಂತಿರುಗದಿದ್ದರೆ, ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಆಯ್ಕೆ ಮಾಡಿದ ಮೂಲ ಪೋರ್ಟ್ ಅನ್ನು ಮಾರ್ಗದಲ್ಲಿನ ಯಾವುದೇ ಪೋರ್ಟ್ ಫಿಲ್ಟರ್ನೊಂದಿಗೆ ಹೋಲಿಸಿ. ಒಂದು ವಿಷಯ ಬದಲಿಸಿ, ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿ, ಸಾಕೆಟ್ ಮತ್ತೆ ಓದಿ.