1194 порту мурун эле колдонулуп жатат: бул OpenVPN сокети кимдики?

Ошол эле сервер профилин эки жолу иштетиңиз, экинчи процесс 1194 порту үчүн дарек колдонулуп жатат деген ката менен чыгат. Көбүнчө учурда диагностикалык иштетүү жаңжалды жараткан, ал эми баштапкы инстанция кардарларга дагы эле толук кызмат көрсөтүп жатат. Бул окуя ушул отчеттордун чоң бөлүгүн түшүндүрөт жана бир нерсени кайра иштетүүдөн мурун аны таанууга татыктуу. Бул чечүүнүн эң арзан версиясы да.

Ката жергиликтүү байланышты сүрөттөйт жана андан ары эч нерсени эмес. Бул провайдердин портту блоктогонуна, кардар туура эмес сырсөз жөнөткөнүнө же сертификаттар чынжыры бузулганына далил эмес.

Так байланыш катасын окуңуз

Бул үй-бүлөдөгү эки ката ар кандай нерсени билдирет жана аларды аралаштыруу сизди туура эмес катмарга жөнөтөт. «Дарек мурун эле колдонулуп жатат» дегени — башка сокет сиз сураган акыркы чекитти кармап турат. «Дарек жеткиликсиз» дегени — суралган дарек бул хостто азырынча жок, бул даярдык маселеси, көчүрмө эмес.

systemctl status openvpn-server@lab --no-pager
journalctl -u openvpn-server@lab -n 20 --no-pager

Бир нерсени өзгөртүүдөн мурун ката текстин көчүрүңүз, анда аталган дарек жана порт менен. Интерфейстин пайда болушун күткөн кызмат экинчи катаны кайра-кайра жазат, анан дарек пайда болгондо ийгиликтүү байланышат; биринчи катаны жазган кызмат көчүрмө чечилмейинче эч качан ийгиликке жетпейт. Кайсынысын көргөнүңүздү жазып коюу эч нерсе турбайт жана бекер интерфейс издөөнү үнөмдөйт.

Сокетти тизмектеңиз, портту эмес

Порт номери толук эмес тизме. Акыркы чекит — транспорт, дарек үй-бүлөсү, жергиликтүү дарек жана порт, баары бир тармактык ат мейкиндигинин ичинде. Бир номердеги UDP угуучу жана TCP угуучу өзүнчө сокеттер, ал эми ар башка ат мейкиндиктериндеги бир номердеги эки процесс эч качан жолугушпайт.

ss -lunp | grep -F ':1194'
ss -ltnp | grep -F ':1194'
ss -lunp 'sport = :1194'

Алгач профил чындап колдонгон транспортту иштетиңиз. Анан санга гана эмес, жергиликтүү дарек мамычасына караңыз: wildcard байланышы бардык жергиликтүү даректерди камтыйт, ошондуктан бир конкреттүү даректи сураган экинчи процесс басылма жолдору башкача болсо да ага кагылышы мүмкүн. Сокетти кайра колдонуу параметрлери жана платформа эрежелери так натыйжаны аныктайт, ошондуктан бул ар бир жайгаштырууга колдонулуучу эреже эмес, байкоо болушу керек.

Аны кайсы процесс ээлеп турганын табыңыз

Сандык акыркы чекиттер жана процесс маалыматы укуктарыңыз мүмкүндүк бергенде ээсин аныктайт, жана сизге керек нерсе — ээси, программанын аталышы эмес. Эки OpenVPN процесси ар башка профилдерди иштетиши мүмкүн, ал эми угуучуну кармап турган процесс эң күтүлбөгөнүңүз болушу мүмкүн.

sudo ss -lunp 'sport = :1194'
sudo fuser -v -n udp 1194

Тапканыңызды кызмат менеджери, контейнер аткаруу чөйрөсү же мурунку сыноодон калган терминал процесси менен салыштырыңыз. Процесс деталдарынын жоктугу сокеттин ээси жоктугуна далил эмес; адатта бул сурам жетиштүү укуксуз аткарылганын билдирет. Ошондой эле, тек TCP тизмеси UDP жаңжалын жойбойт, ошондуктан катада аталган транспортту текшериңиз. Процесстин аталышы гана кайсы профил жүктөлгөнүн эч качан айтпайт, жана так профил акыркы чекитти аныктайт.

Бир ээ, же эки долбоорлонгон инстанция

Эгер жайгаштыруу бир серверди көздөсө, бир жашоо цикл ээсин кармаңыз жана аны көзөмөлдөө үчүн экинчи көчүрмөнү иштетүүнүн ордуна ошол инстанциянын журналын же конфигурацияланган логду окуңуз. Көзөмөлдөнгөн алдыңкы пландагы иштетүү чындап керек болгондо, башкарылуучу инстанцияны атайын токтотуңуз жана муну кылуудан мурун ал тейлеп жаткан кардарларды эске алыңыз.

Эгер эки инстанция көздөлсө, аларга өзүнчө угуучуларды жана калганынын баарын өзүнчө бериңиз: дарек пулдары, виртуалдык интерфейстер, маршруттоо саясаты жана конфигурация ээлиги. Тек башка порт сокеттен башка эч нерсени бөлбөйт, ал эми эки сервер бир пул жана бир эле маршруттар үчүн талашып калат.

Үч кыска жолду атап өтүүгө татыктуу, анткени алар бул ката тууралуу ар бир талкууда кездешет. Күнөөлүүгө окшош кокустук PIDди өлтүрбөңүз. Билдирүүнү унчукпай кылуу үчүн сокетти бөлүшүүнү күйгүзбөңүз. Сервер профилин кардар стилиндеги байланышпаган конфигурацияга алмаштырбаңыз, анткени бул байланыш катасын жоготуп, сервер баштапкы жаңжалга караганда диагноз коюу кыйыныраак жол менен жеткиликсиз болуп калат.

Портту өзгөртүү мыйзамдуу жооп гана жаңы угуучу бекитилген долбоордун бөлүгү болгондо, анын ичинде багыттоо эрежеси жана кардардын акыркы чекити болгондо. Эгер алар жаңыртылбаса, сиз жаңжалды эч ким таба албаган жерге жылдырдыңыз.

Баарынан мурун байланышты текшериңиз

Чектелген оңдоодон кийин көздөлгөн инстанциянын активдүү экенин, анын угуучусу күтүлгөн транспортто көрүнөрүн жана кардар туташа аларын ырастаңыз. Ийгиликтүү байланыш жергиликтүү сокет баскычын гана бүтүрөт; ал аутентификация же туннель көтөрүлгөндөн кийинки трафик тууралуу эч нерсени ырастабайт.

ss -lunp 'sport = :1194'
systemctl is-active openvpn-server@lab
journalctl -u openvpn-server@lab -f

Эгер сокет бар болуп, кардар дагы эле ийгиликсиз болсо, калган маселе төмөндө жана байланыш катасы эми тарых. Дал ушул бөлүү так билдирүүнү биринчи окуунун бардык мааниси: бир ката, бир катмар, бир ээ. Ошентип окуңуз, ошондо кийинки симптом божомолдон эмес, белгилүү абалдан башталат.