Ports 1194 jau tiek izmantots: kam pieder šī OpenVPN ligzda?

Palaidiet to pašu servera profilu divreiz, un otrais process beidzas ar kļūdu, ka adrese jau tiek izmantota portam 1194. Parastā gadījumā konfliktu radīja diagnostikas palaišana, un sākotnējā instance joprojām lieliski apkalpo klientus. Šis stāsts izskaidro lielu daļu šo ziņojumu, un to ir vērts atpazīt pirms kaut kā pārstartēšanas. Šī ir arī lētākā risinājuma versija.

Kļūda apraksta vietēju saistīšanu un neko vairāk. Tā nav pierādījums, ka pakalpojumu sniedzējs bloķē portu, ka klients nosūtīja nepareizu paroli vai ka sertifikātu ķēde ir bojāta.

Izlasiet precīzo saistīšanas kļūdu

Divas šīs saimes kļūdas nozīmē dažādas lietas, un to sajaukšana aizved jūs nepareizajā slānī. „Adrese jau tiek izmantota“ nozīmē, ka cita ligzda tur jūsu pieprasīto galapunktu. „Adrese nav pieejama“ nozīmē, ka pieprasītā adrese šajā resursdatorā vēl neeksistē, un tā ir gatavības problēma, nevis dublikāts.

systemctl status openvpn-server@lab --no-pager
journalctl -u openvpn-server@lab -n 20 --no-pager

Nokopējiet kļūdas tekstu pirms kaut kā maiņas, tostarp tajā nosaukto adresi un portu. Pakalpojums, kas gaida saskarnes parādīšanos, otro kļūdu reģistrēs atkārtoti un pēc tam veiksmīgi saistīsies, kad adrese būs; pakalpojums, kas reģistrē pirmo kļūdu, nekad neizdosies, kamēr dublikāts netiks atrisināts. Pierakstīt, kuru no tām redzējāt, neko nemaksā un ietaupa veltīgu saskarnes meklēšanu.

Uzskaitiet ligzdu, nevis portu

Porta numurs ir nepilnīgs uzskaitījums. Galapunkts ir transports, adrešu saime, vietējā adrese un ports, viss vienā tīkla nosaukumu telpā. UDP klausītājs un TCP klausītājs ar to pašu numuru ir dažādas ligzdas, un divi procesi ar to pašu numuru dažādās nosaukumu telpās nekad nesatiekas.

ss -lunp | grep -F ':1194'
ss -ltnp | grep -F ':1194'
ss -lunp 'sport = :1194'

Vispirms palaidiet transportu, ko profils faktiski izmanto. Pēc tam skatiet vietējās adreses kolonnu, nevis tikai numuru: aizstājējsaiste aptver visas vietējās adreses, tāpēc otrs process, kas pieprasa vienu konkrētu adresi, var ar to sadurties, pat ja izdrukātās virknes atšķiras. Ligzdas atkārtotas izmantošanas opcijas un platformas noteikumi nosaka precīzu rezultātu, tāpēc tam jābūt novērojumam, nevis noteikumam, ko piemērojat katram izvietojumam.

Noskaidrojiet, kurš process to pārvalda

Skaitliskie galapunkti un procesa informācija identificē īpašnieku, ja jūsu privilēģijas to atļauj, un jums vajadzīgs īpašnieks, nevis programmas nosaukums. Divi OpenVPN procesi var darbināt dažādus profilus, un tas, kas tur klausītāju, var būt tas, ko jūs vismazāk gaidāt.

sudo ss -lunp 'sport = :1194'
sudo fuser -v -n udp 1194

Salīdziniet atrasto ar pakalpojumu pārvaldnieku, konteineru izpildlaika vidi vai termināļa procesu, kas palicis no iepriekšēja testa. Procesa detaļu trūkums nav pierādījums, ka ligzdai nav īpašnieka; parasti tas nozīmē, ka vaicājums tika izpildīts bez pietiekamām atļaujām. Tāpat saraksts tikai ar TCP neatceļ UDP konfliktu, tāpēc pārbaudiet kļūdā nosaukto transportu. Tikai procesa nosaukums nekad nepasaka, kurš profils tika ielādēts, un tieši profils nosaka galapunktu.

Viens īpašnieks vai divas projektētas instances

Ja izvietojums paredz vienu serveri, saglabājiet vienu dzīves cikla īpašnieku un lasiet šīs instances žurnālu vai konfigurēto žurnālu, nevis palaidiet otru kopiju, lai to novērotu. Kad kontrolēta palaišana priekšplānā patiešām ir nepieciešama, apzināti apturiet pārvaldīto instanci un pirms tam ņemiet vērā klientus, kuriem tā apkalpo.

Ja paredzētas divas instances, piešķiriet tām atsevišķus klausītājus un atsevišķi visu pārējo: adrešu kopas, virtuālās saskarnes, maršrutēšanas politiku un konfigurācijas īpašumtiesības. Tikai cits ports atdala neko citu kā ligzdu, un abi serveri joprojām cīnīsies par to pašu kopu un tiem pašiem maršrutiem.

Trīs saīsnes ir vērts nosaukt, jo tās parādās katrā sarunā par šo kļūdu. Nenogaliniet nejaušu PID, kas izskatās vainīgs. Neieslēdziet ligzdas koplietošanu, lai apklusinātu ziņojumu. Nepārslēdziet servera profilu uz klienta stila nesaistītu konfigurāciju, jo tas liek saistīšanas kļūdai pazust; serveris kļūst nepieejams tā, ka to diagnosticēt ir grūtāk nekā sākotnējo konfliktu.

Porta maiņa ir likumīga atbilde tikai tad, ja jaunais klausītājs ir apstiprināta dizaina daļa, kas ietver pāradresācijas noteikumu un klienta galapunktu. Ja tie netika atjaunināti, jūs pārvietojāt konfliktu uz vietu, kur to neviens nevar atrast.

Pārbaudiet saistīšanu pirms visa cita

Pēc ierobežotā labojuma apstipriniet, ka paredzētā instance ir aktīva, ka tās klausītājs parādās gaidītajā transportā un ka klients var izveidot savienojumu. Veiksmīga saistīšana tikai pabeidz vietējās ligzdas posmu; tā neko neliecina par autentifikāciju vai par trafiku pēc tuneļa pacelšanas.

ss -lunp 'sport = :1194'
systemctl is-active openvpn-server@lab
journalctl -u openvpn-server@lab -f

Ja ligzda ir, bet klients joprojām neizdodas, atlikusī problēma ir lejup pa straumi un saistīšanas kļūda tagad ir vēsture. Tieši šī nošķiršana ir visa precīzā ziņojuma vispirms lasīšanas jēga: viena kļūda, viens slānis, viens īpašnieks. Lasiet tā, un nākamais simptoms sāksies no zināmas stāvokļa, nevis no minējuma.