Port 1194 ass schonn a Gebrauch: wiem gehéiert dëse OpenVPN-Socket?

Start dee selwechte Serverprofil zweemol, an den zweete Prozess geet mat engem Feeler eraus, datt d’Adress schonn a Gebrauch ass fir Port 1194. Am gewéinleche Fall huet de diagnosteschen Start de Konflikt erstallt, an déi ursprénglech Instanz bedéngt d’Cliente weiderhi perfekt. Dës Geschicht erkläert e groussen Deel vun dësen Haussoen, an et ass derwäert, se ze erkennen, ier eppes nei gestart gëtt. Et ass och déi bëllegst Versioun fir ze léisen.

De Feeler beschreift eng lokal Bindung an näischt driwwer eraus. Et ass kee Beweis, datt en Ubieder de Port blockéiert, datt e Client de falsche Passwuert geschéckt huet, oder datt d’Zertifikatsketten gebrach ass.

Liest dee genee Bindungfeeler

Zwee Feeler aus dëser Famill bedeiten verschiddenes, an hir Verwiesslung schéckt Iech op déi falsch Schicht. „Adress schonn a Gebrauch“ heescht, datt en anere Socket den Ennpunkt hält, deen Dir ugefrot hutt. „Adress net verfügbar“ heescht, datt d’ugefroten Adress op dësem Host nach net existéiert, wat e Problem vun der Bereetschaft an net en Duplikat ass.

systemctl status openvpn-server@lab --no-pager
journalctl -u openvpn-server@lab -n 20 --no-pager

Kopéiert den Feelertext, ier Dir eppes ännert, inklusiv d’Adress an de Port, déi en nennt. En Déngscht, deen op d’Erscheine vun enger Interface waart, wäert den zweete Feeler ëmmer erëm loggen an dann erfollegräich binden, soubal d’Adress existéiert; en Déngscht, deen den éischte Feeler loggt, wäert ni erfollegräich sinn, bis den Duplikat geléist ass. Opzezeechnen, wat Dir gesinn hutt, kascht näischt a spuert eng verschwonnen Interface-Sich.

Inventariséiert de Socket, net de Port

Eng Portnummer ass eng onvollstänneg Inventar. Den Ennpunkt ass en Transport, eng Adressfamill, eng lokal Adress an e Port, all bannent engem eenzegen Netzwierk-Nummraum. En UDP-Lauschterer an en TCP-Lauschterer op der selwechter Nummer sinn verschidde Sockets, an zwee Prozesser op der selwechter Nummer an verschiddenen Nummraim begéine sech ni.

ss -lunp | grep -F ':1194'
ss -ltnp | grep -F ':1194'
ss -lunp 'sport = :1194'

Fiert als éischt den Transport aus, deen de Profil tatsächlech benotzt. Kuckt dann op d’Kolon vun der lokaler Adress amplaz nëmmen op d’Nummer: eng Wildcard-Bindung deckt all lokal Adress of, sou datt en zweeten Prozess, deen eng bestëmmten Adress freet, mat hir kollidéiere kann, och wann déi gedréckte Stréng verschidde sinn. Socket-Wiederverwendungsoptiounen an d’Plattformregelen decidéieren iwwer dat genee Resultat, dofir sollt dëst eng Observatioun sinn an net eng Regel, déi Dir op all Deploiement uwenden.

Fannt eraus, wéi eng Prozess en besëtzt

Numeresch Ennpunkten plus Prozessinformatiounen identifizéieren den Eegentümer, wann är Privilegien et erlaben, an den Eegentümer ass dat, wat Dir braucht, net den Numm vum Programm. Zwee OpenVPN-Prozesser kënnen ënnerschiddlech Profiler lafen, an deen, deen de Lauschterer hält, kann deen eenzegen sinn, deen Dir am mannsten erwaart.

sudo ss -lunp 'sport = :1194'
sudo fuser -v -n udp 1194

Vergläicht, wat Dir fannt, mam Servicemanager, enger Container-Laufzäit oder engem Terminalprozess, deen aus engem fréieren Test iwwereg bliwwen ass. D’Fehle vu Prozessdetailer ass kee Beweis, datt de Socket keen Eegentümer huet; meeschtens heescht et, datt d’Ufro ouni genuch Berechtegung gelaf ass. Gläichermo mécht eng Lëscht nëmme mat TCP kee UDP-Konflikt ewech, also iwwerpréift den Transport, deen am Feeler genannt gëtt. Just en Numm vum Prozess seet ni, wéi ee Profil geluede gouf, an de Profil ass et, wat den Ennpunkt entscheet.

Een Eegentümer, oder zwee entworf Instanzen

Wann d’Deploiement ee Server virgesäit, hält ee Liewenszyklus-Eegentümer a liest de Journal vun där Instanz oder dee konfiguréierte Log, amplaz eng zweet Kopie ze starten, fir se ze beobachten. Wann eng kontrolléiert Ausféierung am Virdergrond wierklech néideg ass, stoppt d’verwalt Instanz bewosst an Denkt un d’Cliente, déi se bedéngt, ier Dir dat maacht.

Wann zwee Instanzen geduecht sinn, gitt hinnen verschidde Lauschterer a verschidde alles aneres: Adresspools, virtuell Interfaces, Routingpolitik a Konfiguratiounseegentum. Just en anere Port trennt näischt ausser de Socket, an déi zwee Serveren strieche weider ëm dee selwechte Pool an déi selwecht Route.

Dräi Ofkierzungen ass et derwäert ze nennen, well se an all Thread iwwer dëse Feeler optauchen. Maacht keen arbiträren PID ëm, deen ausgesäit wéi de Schëllege. Aktivéiert keng Socket-Deelen, fir d’Message ze berouegen. Ännert e Serverprofil net op eng Clientstil-ongebonnen Konfiguratioun, well dat de Bindungfeeler verschwënne léisst; de Server gëtt onereechbar op eng Manéier, déi méi schwéier ze diagnostizéieren ass wéi de urspréngleche Konflikt.

De Port z’änneren ass nëmmen eng legitim Äntwert, wann den neien Lauschterer Deel vun engem approuvéierten Design ass, deen d’Weiderleitungsregel an den Ennpunkt vum Client enthält. Wann déi net aktualiséiert goufen, hutt Dir de Konflikt op eng Plaz verschéckt, wou keen en fannen kann.

Verifizéiert d’Bindung virun allem aneren

No der begrenzter Korrektur confirméiert, datt déi virgesinn Instanz aktiv ass, datt hire Lauschterer op deem Transport erschéngt, deen Dir erwaart, an datt e Client sech ka verbannen. Eng erfollegräich Bindung kompletéiert nëmmen d’lokal Socket-Phase; se zertifiéiert näischt iwwer d’Authentifikatioun oder iwwer den Trafic, soubal den Tunnel steet.

ss -lunp 'sport = :1194'
systemctl is-active openvpn-server@lab
journalctl -u openvpn-server@lab -f

Wann de Socket do ass an de Client nach ëmmer feelt, ass de Reschtprobleem floss of an de Bindungfeeler ass elo Geschicht. Dee Gruef ass de ganzen Zweck, fir d’éischt dee genee Message ze liesen: ee Feeler, eng Schicht, een Eegentümer. Liest en esou an den nächsten Symptom fänkt vun engem bekannte Staat un an net vun enger Vermutung.