OpenVPN um Port 53: dräi Gespréicher, déi d’Leit verwiesselen
D’Endpoint-Opléisung, den encryptéierten Transport an DNS no dem Tunnel sinn dräi Gespréicher. Bestëmmt, wéi eng Etapp versot huet, ier Dir e Port oder en Resolver ännert.
Rapporten, déi soen, d’VPN wier um Port 53 blockéiert, mëschen dräi Observatiounen, déi aus ënnerschiddlechen Grënn versoen. D’Numm vum Endpoint gëtt opgeléist, ier en Tunnel existéiert, den encryptéierten Transport ass en eegene Gespréich, an d’DNS-Ufroen duerno sinn déi drëtt. All eenzel huet seng eege Feeler-Signatur, an nëmmen eng dovun huet iwwerhaapt mat DNS ze dinn.
Sortéiert d’Pakete fir d’Wéi en Zweck, ier Dir eppes ännert, well d’Léisung der Etapp follegt.
Dräi Gespréicher, eng Portnummer
Déi éischt Gespréich ass eng Nummiesich fir den Endpoint: Är Maschinn frot hire konfiguréierte Resolver, wou vpn.example.com läit, an déi Äntwert kënnt iwwer gewéinlech DNS, ier de Client en eenzegen Tunnelpaket schéckt. Déi zweet ass den OpenVPN-Transport selwer, dee sech mat der Adress verbënnt, déi d’Sich erginn huet, op deem Protokoll an deem Port, deen de Profil nennt. Déi drëtt geschitt, nodeems den Tunnel steet, wann Applikatiounen Nimm froen an déi agespäichert Resolver-Astellungen entscheeden, wien äntwert.
Déi dräi kënnen onofhängeg geléngen oder versoen. E Client kann säin Endpoint perfekt opléisen an trotzdem de Lauschter net erreechen, an en kann en Tunnel opbauen, wärend all intern Nummiesich versot, well d’DNS-Astellungen ni ukomm sinn.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Liest d’Tabell als Checklist an net als Beschreiwung. Wann den Numm vum Endpoint sech net opléist, kann duerno näischt funktionéieren, an den Tunnel fänkt ni un.
D’Portnummer nennt d’Applikatioun net
Port 53 dréit DNS aus Konventioun, an en OpenVPN-Betribber kann och engem Lauschter do verëffentlechen, an dat ass genee de Grond, firwat d’Nummer en schlechten Identifikator ass. Eng OpenVPN-Sessioun op UDP 53 ass weiderhin eng OpenVPN-Sessioun, an eng DNS-Ufro un e Server um Port 53 seet näischt doriwwer aus, ob en Tunnel erlaabt ass. D’Linnen proto an remote vum Profil definéieren den baussenzegen Endpoint; d’Portnummer definéiert vun sech aus näischt.
Dat schneit beim Diagnostizéieren a béide Richtungen: eng allgemeng UDP-Probe op de Port 53 beweist, datt e Port äntwert, net datt de VPN-Service äntwert. Testt mam richtege Client a mam richtege Profil, well nëmmen dat den Handshake übt, deen de Service erwaart.
Beweist de Lauschter, ier Dir d’Netzwierk beschëllegt
Op dem Server kontrolléiert mat ss -lunp | grep 53, wat gebonne ass, a vergläicht et mam Protokoll an dem Port vum Profil. Vum Netzwierk vum Client aus starte de Client mat méi Detailer, sou datt de Log weist, wéi eng Adress an wéi en Transport en probéiert huet. Wann de Server lauschtert an d’Pakete vum Client net ukommen, da refuséiert de Wee oder d’Politik se, an dat ass e Gespréich mam Netzwierkbesëtzer an net e Grond, de Port ze wiesselen.
En anere Port hëlleft nëmmen dann, wann de Service do wierklech lauschtert an d’Deployement et erlaabt. E Lauschter verréckele fir d’Filtere vun engem geréierten Netzwierk ze ëmgoen ass eng Politik-Entscheedung, keen Diagnoseschrëtt. Frot den Netzwierkbesëtzer, wat erlaabt ass, ier Dir de Service ännert, well en Ëmwee, deen d’Politik verletzt, gëtt méi spéit ëmmer nach zougemaach. Schreift déi Äntwert nieft de Profil, damit déi nächst Persoun d’Ufro net widderhëlt.
Préift DNS no dem Tunnel, separat
Souwuel wéi den Tunnel steet, kuckt de Resolver-Zoustand um VPN-Interface un a frot een internen Numm an en ëffentlechen Numm of. Wann intern Nimm versoen, wärend den Tunnel Verkéier dréit, dann sinn déi agespäichert DNS-Astellungen net ugewannt ginn, wat eng Fro vun der Client-Integratioun ass an net vum Transport. Wann ëffentlech Nimm versoen an intern Nimm funktionéieren, dann mécht d’Split-Tunnel-Politik dat, wofir si konfiguréiert gouf.
Loosst DNS-Ännerungen beim Resolver-Besëtzer. Eng geréiert Resolver-Konfiguratioun iwwerschreiwen, fir een Test duerchzekréien, kann privat Nimm fir alles anescht op der Maschinn zerbriechen. Wann den Tunnel e Resolver dréckt an de Client en ignoriert, reparéiert d’Client-Integratioun amplaz enger statescher Entrée soss enger Plaz dobäizesetzen. Statesch Entréeë verstoppen de Feeler, bis een d’Netzwierk wiesselt. Schreift op, wéi ee Resolver erwaart gëtt, all Nummraum ze äntweren.