OpenVPN verbënnt, awer et fléisst näischt: fannt d'Schicht, wou de Pak fält

OpenVPN seet verbonnen an et beweegt sech keen Trafik, eng Phras déi op d'mannst fënnef onofhängeg Feeler deckt. Firewallregele änneren, ier dir wësst wéi eng Schicht versot, multiplizéiert dat Onbekannt a léisst dem nächsten Ingenieur e Chaos. Schafft amplaz vum Prozess no baussen, well all Schrëtt hei drënner entweder eng Etapp klappt oder enkert wou de Pak stierft. D'Reiefolleg zielt hei: eng Opnam déi geholl gëtt, ier dir wësst wéi eng Adress gebonnen ass, beweise eppes, just net dat wat dir braucht.

De Socket ass entweder gebonnen oder net

En Déngscht deen als aktiv mellt, ka nach ëmmer un eng Adress oder un en Transport gebonnen sinn, deen dir ni virgesinn hutt. Frot de Socket selwer: ss -lunp listet UDP-Listeneren op an ss -ltnp TCP, an d'Kolon déi et wäert ass ze liesen ass déi lokal Adress, net den Zoustand.

Eng eidel Äntwert bedeit meeschtens eng vun dräi Saachen: de Prozess ass nom Start erausgaang, en huet eng aner Konfiguratiounsdatei gelueden, oder en äntwert op enger anerer Adress wéi där, déi gewielt gëtt.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Eng local-Direktiv fixationéiert de Listener op eng eenzeg Adress, sou datt e Client deen op en anere Punkt um selwechten Host zielt, ofgeleent gëtt, während den Déngscht vu baussen nach gesond ausgesäit. En Instanznumm kann och op eng Datei weisen déi dir ni editéiert hutt, wat op Hosten geschitt déi zwee Profiler niewenteneen ausféieren.

Fänkt de baussenzege Pak, net den Tunnel

Filtert op der physescher Interface an dem richtege Port, mat Ärer eegener Interface ersat: tcpdump -ni eth0 udp port 1194. Ausgéiend Päck, op déi näischt zréckkënnt, weisen op dat wat uewendriwwer sëtzt: Provider-Filterung, en NAT-Apparat oder eng wäit Adress déi net déi ass déi dir denkt. Stëllt a béide Richtungen weist op Client-Routing oder eng lokal Firewall. Äntwerten déi ouni Fortschrëtt vum Tunnel ukommen, weisen op de Kontrollkanal, also eng Schlëssel- oder Cipher-Differenz, net op d'Filterung.

Fänkt béid Richtungen a hält d'Datei kuerz. Eng laang Opnam verbët déi interessant dräi Sekonnen, an d'Äntwert sëtzt bal ëmmer am éischten Austausch.

Éischt Zieler, Spuer nëmme wann se liewen

Fänkt mat den Zieler un, well se näischt kaschten. Entweder nft list ruleset oder iptables -L -n -v beäntwert déi eenzeg Fro déi hei zielt: huet d'Regel gepasst? D'Reiefolleg entscheet d'Resultat, well déi éischt Passung gewënnt, dofir léisst en breedt DROP virun engem méi spéiden ACCEPT deen ACCEPT doud an dofir reparéiert d'Bäisetze vun enger Regel sou seelen eppes.

D'Eegentum bréngt och Leit zum Stëmperen. De Kernel schreift lokal generéiert Päck deem Prozess zou deen de Socket opgemaach huet, an OpenVPN leeft normalerweis als root, sou datt eng Regel déi op eng gewéinlech Benotzer-ID zielt, den Trafik vum Tunnel selwer ni gesäit. Kontrolléiert d'Besëtzer-UID ier dir entscheet datt d'Regel falsch ass.

Nëmme wann d'Zieler zweedeiteg bleiwen ass e Log de Kaméidi wäert, an dann nëmme fir eng schmuel Tranche: eng iptables-Regel déi d'Vitess limitéiert a säi Logzeilen e Prefix gëtt, oder eng nftables-Regel déi meta nftrace set 1 dréit wärend nft monitor trace leeft. Eng Spuer nennt d'Kette an d'Regel déi de Pak ugeholl oder verworf huet. Huet herno déi zwee eraus a hält Payload-Logging dobaussen.

Kontrolléiert och den Transport. En Firewall-Déngscht dee op TCP beschränkt ass, seet näischt iwwer en UDP-Listener op där Nummer, sou datt eng Regel déi richteg gelies gëtt, nach ëmmer all Pak verwerfe kann.

Routing an de Wee zréck

En ugehollene Pak deen trotzdem verschwënnt, brauch eng Untersuchung vu sengem Zilwee. ip route get mellt d'Route déi fir eng Adress gewielt gouf, an d'Ëmgekeeert-Wee-Filterung kann eng Äntwert verwerfen déi iwwer eng Interface ukomm ass, déi d'Haapttabell ni géif wielen. D'Symptom gesäit genee aus wéi e Firewall-Verwerf, dofir kënnt dës Kontroll virun enger anerer NAT-Regel.

Op engem Gateway kontrolléiert d'Weiderleedung an d'forward-Kette amplaz vun der input-Kette. Bestätegt dann datt déi wäit Säit weess wéi se d'Quelladress erreecht, well en funktionéierende Auswee ouni eppes wat zréckkënnt ass Stëllt a béide Fäll.

Wat d'Notiz muss soen

Fir all Ännerung, notéiert d'Etapp déi dir getest hutt, de Beweis deen dir gelies hutt an den Zielerwäert op béide Säiten dovun. Déi Notiz ass et déi "et funktionéiert elo" bei der nächster Iwwerpréiwung iwwerliewe léisst.

Zwou Ofkierzungen halen d'Notiz éierlech. E Pak deen den Host ni verlooss huet konnt net vun enger Regel soss anzwousch verworf ginn, sou iwwerzeegend wéi d'Konfiguratioun vun der wäiter Säit och ausgesäit. E Pak deen erausgaang an zréckkomm ass, verréckelt d'Fro iwwer d'Netzwierkschicht, wou d'Firewall-Zieler näischt méi hunn fir Iech ze soen.