Soll ären OpenVPN-Client nobind oder en fixe Port benotzen?

Zwee Profiler, déi sech an enger eenzeger Linn ënnerscheeden, behuelen sech anescht an dem Moment, wou en zweeten Client op deem selwechten Host start. Den een dréit nobind a hëlt all lokale Port, deen de Kernel vergëtt; deen aneren reservéiert 1194, an déi zweet Instanz stierft mat enger Adress, déi schonn am Gebrauch ass. Déi Linn entscheet, wien de Quellport wielt, wat erëm entscheet, ob de Profil mat egal wat anescht op der Maschinn koexistéiere kann. Dräi Froen entscheeden dat, an déi éischt beäntwert déi meescht Profiler, ier Dir déi aner zwou erreecht.

Wat nobind tatsächlech iwwerspréngt

Par défaut bënnt de Client en lokale Socket, ier en no baussen verbënnt, an de lokale Port ass 1194, ausser de Profil seet anescht. nobind hëlt déi Reservatioun ewech, sou datt de Stack beim Verbannen en onbenotzte Port zoudeelt. Et ass eng Ausnam, net e Standard, an en Client ouni d'Linn hält 1194, an dat ass genau de Grond, firwat eng net ugeneelt zweet Instanz kollidéiert. Déi meescht geliwwert Clientprofiler droen d'Direktiv aus deem Grond, an datt eng Beispilldatei eppes mécht ass net d'selwecht wéi datt de Mechanismus et par défaut mécht.

Wat sech net ännert, ass déi wäit Säit. De Server lauschtert nach ëmmer do, wou de Profil seet, datt en lauschtert, an den Zilport an der Konfiguratioun ass nach ëmmer den Zilport. En dynamesche Quellport ännert d'Récksendadress vun ärem eegene Socket an näischt um Server sengem.

Et verstoppt och näischt. Är ëffentlech Adress ass dat, wat de Wee doraus mécht, de Pak geet nach ëmmer duerch dat lokalt Netzwierk, an wien dat Netzwierk bedreift, gesäit nach ëmmer e Floss. nobind ass weder eng Privatsphärfunktioun nach eng Ëmgoe vun der Firewall.

Dräi Conditiounen, déi et entscheeden

Eng Fro entscheet déi aner zwou, also beäntwert se, ier Dir eppes ännert. Wann de Partner no baussen verbënnt, verfeineren déi aner Froen nëmmen eng Entscheedung, déi schonn getraff ass. Wann en agehend Verbindungen unhëlt, mécht keng Upassung vum lokale Port en erreechbar.

Fänkt dëse Partner d'Verbindung un? Wann en no baussen verbënnt, ass en dynamesche Quellport harmlos a meeschtens besser, well d'Äntwert deemselwechte Floss zréckkënnt. Wann en op agehend Verbindungen waart, mécht en dynamesche Port en onerreechbar, ausser eppes virun him de Port publizéiert. Déi eng Äntwert trennt all Clientprofil vun all Serverprofil.

Filtert de Wee um Quellport? Eng streng Regel, déi fir een bekannten Port geschriwwe gouf, forcéiert en explizitten lokale Port, an de Profil soll festhalen, wéi eng Regel en erfëllt. Déi meescht Netzwierker filtere just um Zil, also ass dës Conditioun méi seele wéi déi éischt. Wou se gëllt, iwwerstiermt se d'Preferenz fir en dynamesche Port.

Deelen e puer Instanzen den Host? En eenzegen fixe Port kann net zwee vun hinnen déngen, an eng nei gestart Instanz ka 1194 nach am Zoumaache fannen. Dynamesch Porten huelen dee Konflikt ewech, ouni eppes anescht z'änneren. Wann Dir dat net sécher beäntwerten kënnt, huel un, datt et jo ass, a loosst de Kernel wielen.

Wou en ugeneelte Port déi richteg Äntwert ass

E puer Netzwierker filtere souwuel um Quellport wéi um Zil, also huet en Operateur vläicht eng Regel geschriwwen, déi just Trafik vun engem bekannten Port duerchléisst. Den lokale Port dann ugeneelen ass richteg, an de Profil soll e Kommentar droen, deen d'Regel nennt, déi en erfëllt. Ugneele fir Symmetrie mam Serverport ass kee Grond, well déi zwou Zuelen näischt mateneen ze dinn hunn. Wann d'Ugneele just do ass, well et eng Schabloun hat, läscht se.

Soss kaft en ugeneelte Port Ärger: zwee Cliente op enger Maschinn kënnen net béid 1194 halen, an den zweeten enttäuscht mat engem Feeler, deen op de Port weist an net op de Profil. E Container, deen séier nei start, stéisst op déiselwecht Mauer. D'Reparatur ass d'Direktiv, déi déi geliwwert Profiler schonn haten.

Server a Client sinn net symmetresch

Handbuch OpenVPN 2.6 setzt nobind nieft lport, wat d'Argument an enger Linn ass: eng Optioun seet, de Kernel wielt, déi aner seet, Dir wielt. En dynamesche lokale Port funktionéiert just fir de Partner, deen no baussen verbënnt, well déi Säit, déi äntwert, de Port net viraus ka wëssen. Dofir bréngt d'Kopéiere vun engem Clientprofil op e Server en Nolauschterer, deen een net erreeche kann.

Op engem Host mat méi Netzwierkinterfacen ass d'Adress eng Entscheedung getrennt vum Port. Eng bestëmmt lokal Adress bannen an e bestëmmte Port bannen sinn zwou ënnerschiddlech Astellungen, an e Server mat zwou Uewe-Verbindungen ugeneelt meeschtens béid. En Client, deen béid ugeneelt, huet déiselwecht Steifheet ouni all Virdeel iwwerholl.

D'Zesummefaassung geet ëm Rollen an net ëm Sécherheet: wien no baussen verbënnt, ka flexibel iwwer seng eege Quell sinn, a wien äntwert, ka et net. Keng vun den zwou Wielméiglechkeete ännert, wat déi aner Säit iwwer Är Identitéit léiert. Dofir taucht d'Direktiv an de Client-Beispiller op a bal ni an de Server-Beispiller.

Iwwerpréift de Port, deen de Kernel gewielt huet

Liest no dem Verbannen de Socket an net d'Konfiguratioun, well d'Konfiguratioun d'Absicht seet an de Socket, wat geschitt ass. D'Fakten, déi et wäert sinn opzezeechnen, sinn de lokale Port, den entfernten Endpunkt an ob nach eppes lauschtert. Op engem Linux-Host sinn all dräi eng Kommando wäit ewech.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

E Client mat nobind weist en héije lokale Port an den konfiguréierten entfernten Port, wat déi erwaart Form ass. E Server weist en lauschterende Socket op sengem konfiguréierten Port, an wann dee Socket feelt, ass de Profil entweder keen Nolauschterer oder en konnt net bannen. Wann e Floss existéiert, awer keng Päck zréckkommen, vergläicht de gewielten Quellport mat all Portfilter um Wee, ier Dir de Profil ännert. Ännert eng Saach, verbënnt Iech erëm a liest de Socket nach eng Kéier.