53-порттогу OpenVPN: адамдар алмаштырып жиберген үч маек
Акыркы чекиттин аталышын чечүү, шифрленген ташуу жана туннелден кийинки DNS — бул үч өзүнчө маек. Портту же чечүүчүнү алмаштыруудан мурун кайсы баскыч ишке ашпаганын аныктаңыз.
VPN 53-портто бөгөттөлгөн деп айткан баяндар ар кандай себептерден улам ишке ашпаган үч байкоону аралаштырат. Акыркы чекиттин аталышын чечүү туннел пайда боло электе эле жүрөт, шифрленген ташуу өзүнчө маек, ал эми кийин жасалган DNS суроолору үчүнчүсү. Ар биринин өзүнүн ишке ашпоо белгиси бар жана алардын бирөө гана DNSке тиешелүү.
Бир нерсени өзгөртүүдөн мурун пакеттерди максаты боюнча иреттеңиз, анткени оңдоо баскычка ээрчийт.
Үч маек, бир порт номери
Биринчи маек — акыркы чекиттин аталышын издөө: машинаңыз конфигурацияланган чечүүчүдөн vpn.example.com кайда экенин сурайт, ал эми бул жооп кардар бир да туннел пакетин жөнөтө электе кадимки DNS аркылуу келет. Экинчиси — OpenVPN ташуусунун өзү, ал издөө берген дарекке профиль атаган протокол жана порт боюнча туташат. Үчүнчүсү туннел көтөрүлгөндөн кийин, колдонмолор аттарды сураганда жана жиберилген чечүүчү жөндөөлөрү ким жооп берерин чечкенде болот.
Бул үчөө бири-биринен көз карандысыз ийгиликтүү же ишке ашпай калышы мүмкүн. Кардар өзүнүн акыркы чекитин мыкты чечип, ошентсе да угуучуга жете албашы мүмкүн, жана DNS жөндөөлөрү эч качан келбегендиктен бардык ички ат издөө ишке ашпай жатканда туннел орнотушу мүмкүн.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Таблицаны сүрөттөмө катары эмес, текшерүү тизмеси катары окуңуз. Эгер акыркы чекиттин аталышы чечилбесе, кийинки эч нерсе иштей албайт жана туннел эч качан башталбайт.
Порт номери колдонмонун атын атабайт
53-порт адат боюнча DNS ташыйт, жана OpenVPN оператору ал жерде угуучуну да жарыялай алат, ошондуктан бул номер начар идентификатор. UDP 53теги OpenVPN сессиясы дагы эле OpenVPN сессиясы, ал эми 53-порттогу серверге жиберилген DNS суроосу туннелге уруксат берилгенин же берилбегенин айтпайт. Профилдин proto жана remote саптары тышкы акыркы чекитти аныктайт; порт номери өзү эч нерсени аныктабайт.
Диагностикада бул эки тарапка тең таасир этет: 53-портко жалпы UDP сыноосу порттун жооп берерин далилдейт, VPN кызматынын жооп берерин эмес. Чыныгы кардар жана чыныгы профиль менен сынаңыз, анткени кызмат күткөн кол алышууну машыктырган нерсе ошол гана.
Тармакты күнөөлөөдөн мурун угуучуну далилдеңиз
Серверде ss -lunp | grep 53 аркылуу эмне байланганын текшерип, аны профилдин протоколу жана порту менен салыштырыңыз. Кардардын тармагынан кардарды кененирээк лог менен иштетиңиз, ошондо журнал кайсы даректи жана ташууну аракет кылганын көрсөтөт. Эгер сервер угуп жатса, ал эми кардардын пакеттери келбесе, аларды жол же саясат четке кагууда, жана бул тармак ээси менен маек, портту алмаштырууга себеп эмес.
Башка порт кызмат чындап ал жерде угуп, жайгаштыруу уруксат бергенде гана жардам берет. Башкарылуучу тармактын фильтрлөөсүнөн качуу үчүн угуучуну жылдыруу — саясат чечими, көйгөйдү чечүү кадамы эмес. Кызматты өзгөртүүдөн мурун тармак ээсинен эмнеге уруксат берилгенин сураңыз, анткени саясатты бузган айлампа жол кийин баары бир жабылат. Ошол жоопту профилдин жанына жазып коюңуз, кийинки адам сурамды кайталабашы үчүн.
Туннелден кийинки DNSти өзүнчө текшериңиз
Туннел көтөрүлгөндөн кийин VPN интерфейсиндеги чечүүчүнүн абалын карап чыгып, бир ички жана бир ачык атты сураңыз. Эгер туннел трафикти ташып жатканда ички аттар ишке ашпаса, жиберилген DNS жөндөөлөрү колдонулган эмес, бул ташуу эмес, кардар интеграциясынын маселеси. Эгер ачык аттар ишке ашпай, ички аттар иштесе, бөлүнгөн туннел саясаты өзүнө конфигурацияланганды аткарып жатат.
DNS өзгөртүүлөрүн чечүүчүнүн ээсинде калтырыңыз. Бир сыноодон өтүү үчүн башкарылуучу чечүүчү конфигурациясын кайра жазуу машинадагы калгандардын баары үчүн жеке аттарды бузушу мүмкүн. Эгер туннел чечүүчү жиберсе, ал эми кардар аны этибарга албаса, башка жерге статикалык жазуу кошуунун ордуна кардар интеграциясын оңдоңуз. Статикалык жазуулар ишке ашпоону бирөө тармакты алмаштырганга чейин жашырат. Кайсы чечүүчү кайсы ат мейкиндигине жооп бериши керектигин жазып коюңуз.