Firwat eng OpenVPN-UDP-Antwert vun der falscher Adress fortgeet

En OpenVPN-Client wielt eng Adress, de Server äntwert vun enger anerer, an den Tunnel geet ni op. De Serverlog weist, datt de Pak ukommt, an eng Opnam weist eng Äntwert, déi fortgeet, dofir gëtt de Feeler dem Client ugehänkt. Op engem Host mat méi Interface'en, oder méi Adressen op engem Interface, sinn déi zwou Säiten einfach net eens, wéi eng Adress benotzt gëtt. D'Äntwert ass op der IP-Schicht valabel, awer vill Clienten verwerfen en Datagramm, deem seng Quell net déi Adress ass, déi si kontaktéiert hunn.

Wat de Client gesäit, wann d'Quell sech ännert

En UDP-Socket, deen net un eng bestëmmt lokal Adress gebonnen ass, huet keng fix Quell, dofir wielt de Kernel eng beim Senden. Déi Wiel kënnt aus enger Routen-Sich an d'Adress vum Client, an d'Quell gëtt d'Adress vum Interface, deen d'Sich auswielt. Op enger Maschinn mat engem Interface ass d'Wiel onsichtbar; op engem Host mat enger Verwaltungsadress, enger ëffentlecher Adress an enger sekundärer Adress op der selwechter Netzwierkkart hänkt et vu Routenmetriken a Politik of. Politikbaséiert Routing mécht d'Differenz méi warscheinlech amplaz manner, well eng Regel en Upstream-Link ka wielen, deen de Client ni erreecht huet. Eng Standardroute, déi vun engem Ubider geléiert gouf, plus eng Quellregel, déi op en aneren weist, sinn duergeet, fir dat ze produzéieren.

Clienten, déi Äntwerten filteren, an d'Verbindungsverfolgung, déi de geneeë Véierer a d'Quell erwaart, verwerfen d'Äntwert ouni nëtzlech Noriicht. Dunn leeft den Tunnel of, wéi wann näischt ukomm wier, an dofir gëtt dat fälschlech als Firewallproblem op der Clientsäit ugesinn. Eng Opnam, déi nëmmen um Server gemaach gouf, bestätegt de Feeler, amplaz en z'erklären, well d'Äntwert wierklech fortgeet. Vergläicht d'Quell vun der Äntwert mat der Adress, déi de Client gewielt huet, ier Dir eppes anescht ännert.

Wat d'Optioun multihome tatsächlech mécht

D'Direktiv gëtt als multihome an enger Konfiguratiounsdatei geschriwwen an als --multihome op der Kommandozeil, an et mécht, datt en UDP-Server vun der Adress äntwert, déi de Pak vum Client erreecht huet. De Kernel liwwert déi ursprénglech Destinatiounsadress als Zousazdaten beim Empfang, an OpenVPN benotzt dëse Wäert als Quell vun der Äntwert. Sou behuelen sech en Server, deen op enger Jokeradress lauschtert, local 0.0.0.0 fir IPv4 oder säin IPv6-Äquivalent, wéi wann all Client en eegene Lauschterer erreecht hätt. Clienten, déi iwwer déi ëffentlech Adress erakoumen, kréien Äntwerten vun der ëffentlecher Adress, a Clienten op enger interner Adress kréien se vun där. Soss beweegt sech näischt um Pakwee: d'Route, d'Filterregelelen an d'Tunnelkonfiguratioun bleiwen genau wéi se waren.

Genau déi lescht Eegeschaft mécht d'Optioun sécher, fir se engem anerefalls funktionéierende Server bäizesetzen, an si ass och de Grond, firwat si e Filter net ka reparéieren, deen nëmmen eng Adress erlaabt. De Pak muss nach ëmmer op dem Wee ugeholl ginn, deen en hëlt, dofir ännert d'Quellkorrektur den Ursprong vun der Äntwert an näischt méi. Et ass och nëmme fir UDP: en TCP-Lauschterer huet dëse Problem net an der selwechter Form, well d'Verbindung duerch de Véierer an net duerch d'Quelladress vun der Äntwert identifizéiert gëtt.

Wéini eng fix lokal Adress de falsche Standard ass

Ier Dir no der Optioun gräift, préift, ob de Server eng bestëmmt lokal Adress bindt, well en gebonnenen Lauschterer ëmmer vun där Adress äntwert. Dat ass richteg fir eng Déploiement mat engem Interface a falsch, soubal Clienten legal méi wéi eng Adress benotzen. Wann d'Bindung bewosst war, entscheet, ob de Server iwwerhaapt Trafik op zousätzlechen Adressen ugeholl soll. D'Bindy ze läschen erhéicht d'Expositioun, dofir mussen déi erlaabt Interface'en an Quellnetzwierker duerch de Service an de Filter duerchgesat ginn, net nëmmen duerch d'Bindungsadress.

D'OpenVPN-Referenz limitéiert d'Optioun op UDP-Serveren, notéiert déi zousätzlech Veraarbechtung um Pakwee an zeechent op, wéi eng Plattforme se ënnerstëtzen. Bestätegt dat op der installéierter Versioun, ier Dir domat plangt. Wou se net ënnerstëtzt gëtt, ass d'Binden vun der konkreter Adress oder d'Korrektur vum Zréckwee d'Alternativ, an allebéid sinn enk Ännerungen, wéi se et op den éischte Bléck schéngen. Op Joker lauschteren huet och Konsequenzen iwwer Äntwerten eraus: en Server op allen Adressen ass vu jidderem Netz erreechbar, un dat den Host ugeschloss ass, an dat ass vläicht net d'Expositioun, déi een am A wollt.

Beweist d'Quell vun der Äntwert vun dobaussen

Test vun dobausse vum Server, an notéiert déi genee Adress an den Transport, deen de Client benotzt huet, ier Dir eppes opgeholl hutt. Déi dräi Prüfungen hei drënner beäntwerten dräi verschidde Froen, an d'Reiefolleg ass wichteg.

tcpdump -ni any udp port 1194
ss -lunp 'sport = :1194'
ip route get 203.0.113.10 from 198.51.100.20

D'Opnam weist d'Quelladress op der Äntwert, an dat ass de Fakt, op deem den ganzen Artikel steet. D'Socketlëscht weist, wat de Server tatsächlech gebonnen huet, well en Joker- an en bestëmmte Lauschterer an enger Konfiguratiounsdatei d'selwecht ausgesinn an um Netz anescht behuelen. D'Routen-Sich weist d'Quell, déi de Kernel fir dee Floss wëlle wielen, an dat erkläert d'Opnam, ier Dir eppes ännert. Widderhëlt all dräi fir IPv4 an IPv6 getrennt, well et getrennt Lauschterer a getrennt Siche sinn, an en Jokerantrag fir eng Famill seet näischt iwwer déi aner.

Routing, Entdeckung a Filterung bleiwen getrennt

D'Quell vun der Äntwert ze behalen installéiert keng ausgänglech Route, aktualiséiert keen dynameschen DNS an et mécht net, datt eng Adressfamill déi aner akzeptéiert. Op engem Server mat méi Upstream-Linke muss den Zréckwee fir all Quell bewosst ofgemaach ginn, soss ginn Äntwerten iwwer en Interface eraus, dee vum Client sengem Filter ni erlaabt gouf. Genee sou muss eng nei Adress no enger Präfixännerung d'Clienten erreechen iwwer Entdeckung an dee ënnerstëtzten Neiverbindungsflow, an net iwwer den ale Rekord.

Loosst d'Serveridentitéitsprüfungen an d'Zertifikatsverifikatioun genau sou wéi se sinn, well eng geännert Adress et net justifiéiert, en net verifizéierten Partner ze akzeptéieren. Wann d'Äntwert elo vun der virgesinner Quell fortgeet an den Tunnel nach ëmmer feelt, betruecht de Quellproblem als geléist a gitt virun. Den nächsten observéierte Feeler gehéiert zum Routing, zur Filterung oder zur Authentifikatioun, an den nach eng Kéier geännerten Lauschterer erreecht en net. Schreift d'Quell vun der Äntwert an den Ticket nieft d'Adress, déi de Client gewielt huet, sou datt déi nächst Persoun dee selwechte Fakt mat engem eenzegen Uerder ka préiwen.