OpenVPN туташат, бирок эч нерсе агып өтпөйт: пакет кайсы катмарда өлөт

OpenVPN туташты деп айтат, ал эми трафик кыймылдабайт, бул сүйлөм жок дегенде беш байланышсыз бузулууну камтыйт. Кайсы катмар иштен чыкканын билбей туруп, тармактык калкандын эрежелерин өзгөртүү белгисиздикти көбөйтүп, кийинки инженерге баш аламандык калтырат. Анын ордуна процесстен тышкары карай иштеңиз, анткени төмөнкү ар бир кадам же бир баскычты тазалайт, же пакет өлгөн жерди куушурат. Бул жерде тартип маанилүү: кайсы дарек байланганын билбей туруп алынган жазуу бир нерсени далилдейт, бирок сизге керектүү нерсени эмес.

Сокет байланган же байланбаган

Активдүү деп билдирген кызмат сиз эч качан ойлогон эмес дарекке же транспортко байланып турушу мүмкүн. Сокеттен өзүнөн сураңыз: ss -lunp UDP угуучуларды, ал эми ss -ltnp TCP тизмелейт, жана окууга татыктуу тилке жергиликтүү дарек, абал эмес.

Бош жооп адатта үч нерсенин бирин билдирет: процесс башталгандан кийин чыгып кетти, башка конфигурация файлын жүктөдү, же чалынган даректен башка даректе угат.

ss -lunp | grep 1194
ss -ltnp | grep 1194

local директивасы угуучуну бир дарекке бекитет, ошондуктан ошол хосттогу башка жерге багытталган кардар четке кагылат, ал эми кызмат сырттан дагы эле соо көрүнөт. Нусканын аты да сиз эч качан оңдобогон файлды көрсөтүшү мүмкүн, бул эки профилди катар иштеткен хосттордо кездешет.

Тышкы пакетти кармаңыз, туннелди эмес

Физикалык интерфейс жана чыныгы порт боюнча чыпкалаңыз, өз интерфейсиңизди коюп: tcpdump -ni eth0 udp port 1194. Артынан эч нерсе кайтпаган чыгуучу пакеттер жогоруда турган нерсени көрсөтөт: провайдердин чыпкасы, NAT түзмөгү, же сиз ойлогондон башка алыскы дарек. Эки багытта тең үнсүздүк кардардын маршрутташына же жергиликтүү тармактык калканга көрсөтөт. Туннелдин илгерилеши жок келген жооптор башкаруу каналына, башкача айтканда ачкыч же шифр дал келбестигине көрсөтөт, чыпкага эмес.

Эки багытты тең кармаңыз жана файлды кыска кармаңыз. Узун жазуу кызыктуу үч секундду көмөт, ал эми жооп дээрлик ар дайым биринчи алмашууда болот.

Алгач эсептегичтер, из алар калп айтканда гана

Эсептегичтерден баштаңыз, анткени алар эч нерсе турбайт. Же nft list ruleset, же iptables -L -n -v бул жерде маанилүү жалгыз суроого жооп берет: эреже дал келдиби? Тартип натыйжаны чечет, анткени биринчи дал келүү жеңет, ошондуктан кийинки ACCEPT алдындагы кенен DROP ошол ACCEPTти өлүк калтырат жана ошондуктан эреже кошуу ушунчалык сейрек бир нерсени оңдойт.

Ээлик да адамдарды чайкатат. Ядро жергиликтүү жаралган пакеттерди сокетти ачкан процесске таандык кылат, ал эми OpenVPN адатта root катары иштейт, ошондуктан кадимки колдонуучу IDсине байланган эреже туннелдин өз трафигин эч качан көрбөйт. Эреже туура эмес деп чечмеден мурун ээсинин UIDин текшериңиз.

Эсептегичтер эки маанилүү бойдон калганда гана журнал чууга татыктуу, ошондо да тар бөлүк үчүн гана: ылдамдыкты чектеп, журнал саптарына префикс кошкон iptables эрежеси, же meta nftrace set 1 алып жүргөн nftables эрежеси nft monitor trace иштеп турганда. Из пакетти кабыл алган же таштаган чынжыр менен эреженин атын атайт. Кийин экөөнү тең алып салыңыз жана пайдалуу жүк журналын тышта кармаңыз.

Транспортту да текшериңиз. TCP менен чектелген тармактык калкан кызматы ошол номердеги UDP угуучу жөнүндө эч нерсе айтпайт, ошондуктан туура окулган эреже да ар бир пакетти таштай алат.

Маршруттоо жана кайтуу жолу

Кабыл алынган, бирок дагы эле жоголгон пакеттин барар жолун текшерүү керек. ip route get бир дарек үчүн тандалган маршрутту билдирет, ал эми тескери жолдун чыпкасы негизги таблица эч качан тандабаган интерфейс аркылуу келген жоопту таштай алат. Симптом так тармактык калкан таштагандай көрүнөт, ошондуктан бул текшерүү кезектеги NAT эрежесинен мурун келет.

Шлюзде input чынжырынын ордуна кайра жиберүүнү жана forward чынжырын текшериңиз. Андан кийин алыскы тарап баштапкы дарекке кантип жетүүнү билерин ырастаңыз, анткени иштеген чыгуучу жолдон эч нерсе кайтпаса, эки учурда тең үнсүздүк.

Жазуу эмнени айтышы керек

Ар бир өзгөртүү үчүн текшерилген баскычты, окулган далилди жана анын эки тарабындагы эсептегичтин маанисин жазыңыз. Ошол эле жазуу "азыр иштейт" дегенди кийинки кароодо жашоого жарактуу кылат.

Эки кыска жол жазууну ак ниеттүү кармайт. Хосттон эч качан чыкпаган пакетти башка жердеги эреже таштай алмак эмес, алыскы тараптын конфигурациясы канчалык ишендирүүчү көрүнсө да. Чыгып кайткан пакет суроону тармак катмарынан жогору жылдырат, ал жерде тармактык калкан эсептегичтеринин айтаары калбайт.