VPN порту үнсүзбү? Уккуч, байлоо дареги же хосттун фаерволу

Токтогон кызмат менен фаерволдун таштоосу ар башка оңдоону талап кылат. Адегенде жергиликтүү сокетти текшериңиз, анан бир уруксат берилген сырткы аракетти журнал менен салыштырыңыз.

VPN өз портунда эч нерсеге жооп бербейт, ал эми эки мүмкүн болгон себеп карама-каршы оңдоону талап кылат: же эч бир процесс сокетти ачкан эмес, же сокет бар жана машиналардын ортосунда бир нерсе пакеттерди токтотуп жатат. Бир буйрук бул суроонун биринчи жарымын чечет, ошондуктан ал каалаган фаервол эрежесинен мурун турат. Төмөнкү тартип ар бир кадамда бир түшүндүрмөнү алып салат, жаңы божомол кошпойт. Ушул экөөнүн ортосунда божомолдоо он мүнөттүк диагностиканы бүт кечке айландырат.

Серверге кире аласыз жана кардар сканер эмес, чыныгы профиль деп эсептеңиз. Эки божомол тең маанилүү, анткени жалпы зонд протоколго таандык суроого жооп бере албайт.

Сокет такыр барбы

Кызматтын өзү жөнүндө айтканынан баштаңыз: ал көтөрүлдүбү жана, пайдалуураак, анын биринчи баштоо катасы эмне болду. Талдоо катасы, жоголгон ачкыч же байлоо катасы уккучтун пайда болушуна жол бербейт, ал эми процесс ушунчалык тынч чыгып кетиши мүмкүн, абал сабы эки мааниде окулат. Өзүн активдүү деп билдирген бирдик өзү эле далил эмес, анткени негизги процесс тирүү болушу мүмкүн, ал эми портту байлоого тийиш болгон компонент мурун эле баш тарткан.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Сокеттердин тизмеси калган диагностика таянган факт. Портту гана эмес, жергиликтүү дарек мамычасын окуңуз, анткени дал ошол мамычада loopback-ке байлоо жана туура эмес интерфейске байлоо көрүнөт. 127.0.0.1 дарегинде бар уккуч мыкты иштейт жана баары бир ноутбукуңузга көрүнбөйт.

Сокет кайсы даректе жана кайсы үй-бүлөдө жооп берет

Эки ката кардар тараптан бирдей көрүнөт жана «жетүү мүмкүн эмес» билдирүүлөрүнүн көбүн түшүндүрөт. Loopback дарегине байланган сервер башка машинадан трафикти эч качан кабыл албайт, ал эми IPv4 дарегине гана байланган сервер ошол хосттун IPv6 дарегин терип жаткан кардарга эч качан жооп бербейт. Саясат жөнүндө бир нерсе божомолдогонго чейин сокеттер таблицасындагы даректи кардар чындап терип жаткан дарек менен тамга-тамга салыштырыңыз.

Тизмени бир порт менен чектөө хост бир нече кызмат иштеткенде аны окууга ылайыктуу кылат. sport фильтри портту сиз текшерип жаткан транспорт менен кошо алат:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Протокол мамычасы бүт жоопту өзгөртөт

Сокеттер таблицасы порт менен катар протокол боюнча да индекстелет жана бул эки көз карандысыз жазуу. 1194 портунда TCPге жооп берген кызмат UDP 1194тө бир нерсе тыңшап жатканы тууралуу эч нерсе айтпайт, ал эми кардар ар дайым алардын бирин гана колдонот. Сервер конфигурациясы кайсы транспортту тандаарын жана кардар профили кайсын жөнөтөрүн ырастаңыз, анан дал ошол сапты издеңиз.

UDPнин экинчи бүктөмү бар: аутентификацияланбаган зонд кызмат жооп беришке милдеттүү ката эмес. Портту үнсүз деп билдирген скан кызматтын жеткиликтүүлүгүн эмес, анын этияттыгын өлчөдү, ошондуктан чыныгы кардар жана профиль менен текшериңиз.

Бир аракет, кароого үч жай

Уруксат берилген кардардан так бир аракет жасап, убакытты секундга чейин жазып алыңыз. Анан ошол терезе үчүн үч булакты окуңуз: провайдердин тармак эрежеси же консолу, хосттун фаервол эсептегичтери же журналы жана кызматтын өз журналы. Бир жолу жасаганы үч күбөлүктү салыштырууга мүмкүн кылат жана убакыт белгисин эч ким жазбаган аракетти кайталоодон арзан.

Эки натыйжа карама-каршы багытты көрсөтөт. Эгер бир да пакет хостко жетпесе, жол аны таштап жатат жана уккуч маанисиз. Эгер пакет сокетке жетип, кызмат аны четке какса, жол тартибинде жана жооп протоколдо, криптографияда же каттоо маалыматтарында. Байланышты мурун эле кабыл алган кызмат үчүн порт ачуу кийинки диагностиканы жеңилдетпейт, кыйындатат.

Эрэжени өзгөртүүдөн мурун баскычты атаңыз

Башталган сүйлөшүү жана ийгиликсиз аутентификация бир бузулуу, ал эми өткөрүү токтоп калганда түзүлгөн туннель таптакыр башка бузулуу. Баскычты мурун атоо оңдоону тар кармайт: каттоо маалыматтарынын көйгөйүн фаервол эрежеси чечпейт, ал эми дайындар жолунун көйгөйүн кайра баштоо чечпейт.

Суроого жооп берген эң тар диагностиканы колдонуңуз. Бир портто администратордун көзөмөлүндөгү убактылуу пакет байкоо орундуу курал; бүт фаерволду өчүрүү андай эмес, анткени натыйжаны бир нерсеге таандык кылуу мүмкүн болбой калат. ss документтери жогоруда колдонулган фильтрлерди камтыйт жана каалаган кармоодон арзан биринчи кадам. Эки бутактын кайсынысын далилдегениңизди жазып алыңыз, кийинки окуя белгилүү жооптон башталат.

Тектеш макалалар