OpenVPN 53. portā: trīs sarunas, ko cilvēki jauc
Galapunkta nosaukuma atrisināšana, šifrētais pārvads un DNS pēc tunela ir trīs sarunas. Noskaidrojiet, kurš posms neizdevās, pirms maināt portu vai atrisinātāju.
Ziņojumi, kas apgalvo, ka VPN ir bloķēts portā 53, sajauc trīs novērojumus, kuri neizdodas dažādu iemeslu dēļ. Galapunkta nosaukuma atrisināšana notiek pirms tuneļa pastāvēšanas, šifrētais pārvads ir atsevišķa saruna, un pēc tam veiktie DNS vaicājumi ir trešā. Katram ir sava kļūmes pazīme, un tikai viens no tiem vispār attiecas uz DNS.
Pirms kaut ko mainīt, sakārtojiet paketes pēc mērķa, jo risinājums seko posmam.
Trīs sarunas, viens porta numurs
Pirmā saruna ir galapunkta nosaukuma meklēšana: jūsu dators jautā konfigurētajam atrisinātājam, kur atrodas vpn.example.com, un šī atbilde pienāk pa parasto DNS, pirms klients nosūta kaut vienu tuneļa paketi. Otrā ir pats OpenVPN pārvads, kas pieslēdzas meklēšanas iegūtajai adresei ar to protokolu un portu, ko nosauc profils. Trešā notiek pēc tam, kad tunelis ir uzcelts, kad lietotnes pieprasa nosaukumus un iesūtītie atrisinātāja iestatījumi izlemj, kas atbildēs.
Šīs trīs var izdoties vai neizdoties neatkarīgi. Klients var lieliski atrisināt savu galapunktu un tomēr neaizsniegt klausītāju, un tas var izveidot tuneli, kamēr katra iekšējā nosaukuma meklēšana neizdodas, jo DNS iestatījumi nekad nav pienākuši.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Lasiet tabulu kā kontrolsarakstu, nevis kā aprakstu. Ja galapunkta nosaukums netiek atrisināts, nekas vēlāk nevar darboties, un tunelis nekad nesākas.
Porta numurs nenosauc lietotni
Ports 53 pēc vienošanās pārvadā DNS, un OpenVPN operators tur var arī publicēt klausītāju, un tieši tāpēc šis numurs ir slikts identifikators. OpenVPN sesija uz UDP 53 joprojām ir OpenVPN sesija, un DNS vaicājums serverim portā 53 neko nepasaka par to, vai tunelis ir atļauts. Profila rindas proto un remote nosaka ārējo galapunktu; porta numurs pats par sevi neko nenosaka.
Diagnosticējot tas griež abos virzienos: vispārīga UDP pārbaude uz portu 53 pierāda, ka ports atbild, nevis ka atbild VPN pakalpojums. Pārbaudiet ar īstu klientu un īstu profilu, jo tikai tas trenē to rokasspiedienu, ko pakalpojums gaida.
Pierādiet klausītāju, pirms vainojat tīklu
Serverī pārbaudiet, kas ir piesaistīts, izmantojot ss -lunp | grep 53, un salīdziniet ar profila protokolu un portu. No klienta tīkla palaidiet klientu ar lielāku detalizāciju, lai žurnāls parādītu, kuru adresi un pārvadu tas mēģināja. Ja serveris klausās un klienta paketes neierodas, tās noraida maršruts vai politika, un tā ir saruna ar tīkla īpašnieku, nevis iemesls mainīt portu.
Cits ports palīdz tikai tad, ja pakalpojums tur tiešām klausās un izvietojums to atļauj. Klausītāja pārvietošana, lai apietu pārvaldīta tīkla filtrēšanu, ir politikas lēmums, nevis problēmu novēršanas solis. Pirms pakalpojuma maiņas pajautājiet tīkla īpašniekam, kas ir atļauts, jo politiku pārkāpjošs apvedceļš vēlāk tomēr tiek slēgts. Pierakstiet šo atbildi blakus profilam, lai nākamais cilvēks neatkārtotu pieprasījumu.
Pārbaudiet DNS pēc tuneļa, atsevišķi
Kad tunelis ir uzcelts, apskatiet atrisinātāja stāvokli VPN saskarnē un pieprasiet vienu iekšējo un vienu publisko nosaukumu. Ja iekšējie nosaukumi neizdodas, kamēr tunelis pārvada datplūsmu, iesūtītie DNS iestatījumi nav piemēroti, un tas ir klienta integrācijas jautājums, nevis pārvada. Ja publiskie nosaukumi neizdodas un iekšējie darbojas, sadalītā tuneļa politika dara to, kam tā tika konfigurēta.
DNS izmaiņas atstājiet atrisinātāja īpašniekam. Pārvaldītas atrisinātāja konfigurācijas pārrakstīšana, lai izturētu vienu testu, var salauzt privātos nosaukumus visam pārējam datorā. Ja tunelis iesūta atrisinātāju un klients to ignorē, labojiet klienta integrāciju, nevis pievienojiet statisku ierakstu kur citur. Statiski ieraksti slēpj kļūmi, līdz kāds nomaina tīklu. Pierakstiet, kuram atrisinātājam jāatbild uz katru nosaukumvietu.