Vai jūsu OpenVPN klientam jāizmanto nobind vai fiksēts ports?

Divi profili, kas atšķiras ar vienu rindu, uzvedas citādi tajā brīdī, kad tajā pašā resursdatorā sākas otrs klients. Viens satur nobind un ņem jebkuru lokālo portu, ko dod kodols; otrs rezervē 1194, un otrā instance mirst ar jau lietotu adresi. Šī rinda nosaka, kas izvēlas avota portu, kas savukārt nosaka, vai profils var pastāvēt kopā ar ko citu mašīnā. Trīs jautājumi to izšķir, un pirmais atbild uz lielāko daļu profilu, pirms nonākat pie pārējiem diviem.

Ko nobind faktiski izlaiž

Pēc noklusējuma klients pirms zvanīšanas piesaista lokālu ligzdu, un lokālais ports ir 1194, ja vien profils nepasaka citādi. nobind noņem šo rezervāciju, tāpēc steka savienošanās laikā piešķir neizmantotu portu. Tas ir izņēmums, nevis noklusējums, un klients bez rindas tur 1194, tāpēc tieši tāpēc nefiksētā otrā instance saduras. Lielākā daļa piegādāto klientu profilu satur šo direktīvu šī iemesla dēļ, un tas, ka parauga fails kaut ko dara, nav tas pats, kas mehānisms to dara pēc noklusējuma.

Tas, kas nemainās, ir tālā puse. Serveris joprojām klausās tur, kur profils saka, ka tas klausās, un mērķa ports konfigurācijā joprojām ir mērķa ports. Dinamisks avota ports maina jūsu paša ligzdas atgriešanās adresi un neko servera ligzdā.

Tas arī neko neslēpj. Jūsu publiskā adrese ir tas, uz ko to pārtulko ceļš, pakete joprojām šķērso lokālo tīklu, un ikviens, kas pārvalda šo tīklu, joprojām redz plūsmu. nobind nav ne privātuma funkcija, ne ugunsmūra apiešana.

Trīs nosacījumi, kas to izšķir

Viens jautājums izšķir pārējos divus, tāpēc atbildiet uz to, pirms kaut ko rediģējat. Ja partneris zvana uz āru, pārējie jautājumi tikai precizē jau pieņemto lēmumu. Ja tas pieņem ienākošos savienojumus, nekāda lokālā porta pielāgošana to nepadarīs sasniedzamu.

Vai šis partneris uzsāk savienojumu? Ja tas zvana uz āru, dinamisks avota ports ir nekaitīgs un parasti vēlams, jo atbilde atgriežas pa to pašu plūsmu. Ja tas gaida ienākošos savienojumus, dinamisks ports to padara nesasniedzamu, ja vien kaut kas priekšā nepublicē portu. Šī vienīgā atbilde atdala katru klienta profilu no katra servera profila.

Vai ceļš filtrē pēc avota porta? Stingrs noteikums, kas rakstīts vienam zināmam portam, pieprasa skaidru lokālo portu, un profilam jāreģistrē, kuru noteikumu tas izpilda. Lielākā daļa tīklu filtrē tikai pēc mērķa, tāpēc šis nosacījums ir retāks par pirmo. Kur tas attiecas, tas pārsvara dinamisku portu izvēli.

Vai vairākas instances dala resursdatoru? Viens fiksēts ports nevar apkalpot divas no tām, un restarted instance var atrast 1194 vēl aizvēršanās stāvoklī. Dinamiski porti novērš šo konfliktu, neko citu nemainot. Ja nevarat uz to droši atbildēt, pieņemiet, ka jā, un ļaujiet kodolam izvēlēties.

Kur piesprausts ports ir pareizā atbilde

Daži tīkli filtrē gan pēc avota porta, gan pēc mērķa, tāpēc operators, iespējams, ir uzrakstījis noteikumu, kas laiž cauri tikai satiksmi no viena zināma porta. Piespraust lokālo portu tad ir pareizi, un profilam jāsatur komentārs, kas nosauc izpildīto noteikumu. Piespraust simetrijas dēļ ar servera portu nav iemesls, jo šiem diviem skaitļiem nav nekā kopīga. Ja piespraušana pastāv tikai tāpēc, ka tā bija veidnē, izdzēsiet to.

Pretējā gadījumā piesprausts ports nopērk nepatikšanas: divi klienti vienā mašīnā nevar abi turēt 1194, un otrais neizdodas ar kļūdu, kas norāda uz portu, nevis profilu. Konteiners, kas ātri restartējas, atsitas pret to pašu sienu. Labojums ir direktīva, kas piegādātajos profilos jau bija.

Serveris un klients nav simetriski

OpenVPN 2.6 rokasgrāmata novieto nobind blakus lport, un tas ir arguments vienā rindā: viena opcija saka, ka izvēlas kodols, otra saka, ka izvēlaties jūs. Dinamisks lokālais ports darbojas tikai partnerim, kas zvana uz āru, jo atbildošā puse nevar iepriekš zināt portu. Tāpēc klienta profila kopēšana uz serveri rada klausītāju, kuram neviens nevar piekļūt.

Resursdatorā ar vairākām tīkla saskarnēm adrese ir atsevišķs lēmums no porta. Konkrētas lokālās adreses piesaistīšana un konkrēta porta piesaistīšana ir divi dažādi iestatījumi, un serveris ar diviem augšupējiem savienojumiem parasti piesprauž abus. Klients, kas piesprauž abus, ir uzņēmies tādu pašu stingrību bez nekāda ieguvuma.

Kopsavilkums ir par lomām, nevis drošību: tas, kas zvana, var būt elastīgs attiecībā uz savu avotu, un tas, kas atbild, nevar. Neviena izvēle nemaina to, ko otra puse uzzina par jūsu identitāti. Tāpēc direktīva parādās klientu piemēros un gandrīz nekad serveru piemēros.

Pārbaudiet portu, ko izvēlējās kodols

Pēc savienošanās lasiet ligzdu, nevis konfigurāciju, jo konfigurācija izsaka nodomu, bet ligzda — kas notika. Fakti, ko ir vērts pierakstīt, ir lokālais ports, attālais galapunkts un vai kaut kas vēl klausās. Linux resursdatorā visi trīs ir vienas komandas attālumā.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Klients ar nobind rāda augstu lokālo portu un konfigurēto attālo portu, un tas ir gaidītais veids. Serveris rāda klausošu ligzdu savā konfigurētajā portā, un, ja šīs ligzdas nav, profils vai nu nav klausītājs, vai neizdevās piesaistīt. Kad plūsma pastāv, bet paketes neatgriežas, salīdziniet izvēlēto avota portu ar jebkuru portu filtru ceļā pirms profila rediģēšanas. Mainiet vienu lietu, pievienojieties vēlreiz un vēlreiz izlasiet ligzdu.