OpenVPN AF_INET įspėjimas: nekenksmingas atsarginis kelias ar nepavykęs socket?

Dvi OpenVPN žurnalo eilutės prasideda tais pačiais žodžiais, ir tik viena jų praneša apie problemą. Could not determine IPv4/IPv6 protocol. Using AF_INET yra atsarginio kelio pranešimas: profilis paliko adresų šeimą atvirą, todėl demonas pasirinko vieną ir tęsė. Klaidos šaka praneša, kad socket nebuvo sukurtas, ir prašo paleisti iš naujo. Viskas po bendro priešdėlio jas skiria, todėl skaitykite toliau, prieš ką nors keisdami.

Ką praneša atsarginio kelio pranešimas

OpenVPN priima aiškią šeimą per proto udp4 arba proto udp6, ir priima proto udp, kai šeima turi būti išvesta paleidžiant. Antruoju atveju demonas patikrina vietinę susiejimo informaciją ir pasirenka.

Kai šis išvedimas veikia, įspėjimas nurodo, kuria kryptimi buvo einama, ir procesas tęsia socket kūrimą. Serveris su proto udp dvigubos krėvės pagrindiniame kompiuteryje dažnai taip atsiduria IPv4. Šiame kelyje niekas nėra klaida, ir niekas jame neužsimena apie ataką, trūkstamą žiniatinklio serverį ar atmestą paskyrą. Eilutė naudinga tik todėl, kad vėlesni patikrinimai turėtų būti lyginami su šeima, kurią ji įvardija.

Traktuokite tai kaip atsakymą į vieną klausimą, o ne diagnozę. Ji pasako, kurią šeimą pasirinko šis procesas, ir nieko apie tai, kodėl klientas negali prisijungti.

Kaip atrodo klaidos šaka

Vėliau tame pačiame socket kode yra šaka, kurioje socket išvis nėra. Ji įrašo trumpesnį adresų šeimos pranešimą ir prašo paleisti iš naujo, nes nieko neliko tęsti. Pradiniai žodžiai sutampa su atsarginiu keliu; rezultatas ne.

Atskirkite jas pagal tai, kas eina po to. Jei demonas veikia toliau ir praneša apie savo klausytoją, eilutė buvo informacija. Jei jis išeina arba persileidžia cikle, kalbama jau apie susiejimą.

Grep radinys taip pat nėra šakos identifikavimas. Frazė pasitaiko rotuojamose santraukose, lankstomose eilutėse ir žurnalo ištraukose, kurias žmonės įklijuoja iš antrų rankų, todėl skaitykite gretimas eilutes ir laiko žymų tvarką, o ne vienintelį atitikimą.

Tikrinkite klausytoją, o ne įspėjimą

Veikiantis serveris atsako į šeimos klausimą tiesiogiai, nedarydamas išvadų iš žurnalo teksto.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Suderinkite šeimą, adresą ir prievadą su profiliu. 0.0.0.0:1194 eilutė yra tik IPv4, o [::]:1194 eilutė dvigubos krėvės pagrindiniame kompiuteryje gali priimti abi šeimas priklausomai nuo bindv6only nuostatos. Jei profilis sako udp, o socket yra IPv4, klientai, kurių sprendiklis grąžina tik AAAA įrašą, nepavyks dar prieš derantis dėl tunelio.

Tada išbandykite iš kliento, panašaus į jūsų naudotojus: tas pats sprendiklio kelias, ta pati tinklo rūšis. Vietinis ryšys iš serverio įrodo labai mažai apie srautą, kuris kerta NAT įrenginį arba ugniasienės taisyklę, parašytą kitai šeimai.

Kada šeimos primetimas yra teisingas

Prisegti proto udp4 tinka tik IPv4 diegimui: DNS vardas tik su A, ugniasienės taisyklės vienam v4 adresui, klientai už operatorių, kurie duoda tik v4 adresus. Tai pašalina dviprasmiškumą ir daro kitą žurnalo eilučių rinkinį nuspėjamą.

Tas pats argumentas veikia atvirkščiai aplinkoje, kur IPv6 pirmas, o udp6 priešais tik A klientų bazę yra savęs sukelta pertrauka. Primesti šeimą tik tam, kad nutildytumėte nekenksmingą įspėjimą, yra klasikinė šios klaidos versija, nes pakeitėte, kas gali prisijungti, mainais į ramesnį žurnalą.

Rinkitės pagal galinius taškus ir klientus, kurie turi juos pasiekti. OpenVPN 2.6 vadovas dokumentuoja transportavimo formas, ir pranešimas yra to pasirinkimo išvestis, o ne įvestis.

Laikykite įrašą siaurą

Užrašykite tikslią eilutę su laiko žyma, veikiančio profilio efektyvų transportavimo nustatymą, socket, kaip jį praneša branduolys, ir kitą etapą, kuris nepavyko. Šie keturi dalykai išsprendžia beveik visus pranešimo keliamus klausimus, ir nė vienas jų nereikalauja spėlionių apie nesusijusias paslaugas. Jie taip pat išlieka perduodant darbą, ko grep ekrano kopija nepadarys.

Su šiuo įspėjimu ateinantys paketų pasiūlymai yra nesusiję, kol klaida neįvardija trūkstamo vykdomojo failo.

Jei ifconfig tikrai nėra, demonas tai pasako vardu, kai scenarijus jį iškviečia, ir tai nusipelno atskiro tyrimo. AF_INET eilutė ir trūkstama paslaugų programa yra skirtingos klaidos, o diegti dalykus norint pamatyti, ar įspėjimas pasikeis, yra kelias, kuriuo švarus pagrindinis kompiuteris tampa netvarkingu.