OpenVPN AF_INET предупредување: безначајно враќање назад или неуспешен socket?

Две линии во дневникот на OpenVPN започнуваат со истите зборови, и само една од нив пријавува проблем. Could not determine IPv4/IPv6 protocol. Using AF_INET е известување за враќање назад: профилот ја остави семејството адреси отворено, па демонот избра едно и продолжи. Гранката за неуспех пријавува дека не е создаден socket и бара рестарт. Сето она што доаѓа по заедничкиот префикс ги разделува, затоа читајте понатаму пред да промените нешто.

Што пријавува известувањето за враќање назад

OpenVPN прифаќа експлицитно семејство преку proto udp4 или proto udp6, и прифаќа proto udp кога семејството треба да се изведе при стартувањето. Во вториот случај демонот ги прегледува локалните информации за поврзување и избира.

Кога тоа изведување функционира, предупредувањето кажува во која насока отишло и процесот продолжува да го создава socket-от. Сервер со proto udp на домаќин со двоен стек често завршува на IPv4 на овој начин. Ништо на тој пат не е грешка, и ништо во него не укажува на напад, отсутен веб-сервер или одбиена сметка. Линијата е корисна само затоа што подоцнежните проверки треба да се споредат со семејството што го наведува.

Третирајте го како одговор на едно прашање, не како дијагноза. Кажува кое семејство го избрал овој процес, и ништо за тоа зошто клиентот не може да се поврзе.

Како изгледа гранката за неуспех

Подоцна во истиот socket код постои гранка каде што воопшто нема socket. Ја запишува пократката порака за семејство адреси и бара рестарт, бидејќи нема ништо за продолжување. Почетните зборови се совпаѓаат со враќањето назад; резултатот не.

Разликувајте ги по она што следи. Ако демонот продолжува да работи и го пријавува својот слушател, линијата била информација. Ако излегува или се рестартира во циклус, разговорот сега е за поврзувањето.

Ниту наодот од grep не е идентификација на гранка. Фразата се појавува во ротирани резимеа, во преломени линии и во извадоци од дневник што луѓето ги лепат од втора рака, затоа читајте ги соседните линии и редоследот на временските ознаки, а не единственото совпаѓање.

Проверете го слушателот наместо предупредувањето

Серверот што работи директно одговара на прашањето за семејството, без заклучок од текстот на дневникот.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Споредете ги семејството, адресата и портата со профилот. Линијата 0.0.0.0:1194 е само IPv4, додека линијата [::]:1194 на домаќин со двоен стек може да ги прифати двете семејства зависно од поставката bindv6only. Ако профилот вели udp, а socket-от е IPv4, клиентите чиј резолвер враќа само AAAA запис ќе не успеат пред воопшто да се преговара за тунелот.

Потоа тестирајте од клиент сличен на вашите корисници: иста патека на резолверот, ист тип на мрежа. Локалната врска од серверот докажува многу малку за сообраќајот што минува низ NAT уред или правило на огнен ѕид напишано за другото семејство.

Кога наметнувањето семејство е правилно

Закачувањето на proto udp4 одговара на распоредување само со IPv4: DNS име само со A, правила на огнен ѕид за една v4 адреса, клиенти зад оператори што даваат само v4 адреси. Тоа ја отстранува двосмисленоста и го прави следниот сет линии во дневникот предвидлив.

Истиот аргумент работи обратно за околина со IPv6 на прво место, а udp6 пред база клиенти само со A е самонанесен прекин. Наметнувањето семејство само за да се замолчи безначајно предупредување е класичната верзија на оваа грешка, бидејќи сте смениле кој може да се поврзе за возврат на помирен дневник.

Изберете врз основа на крајните точки и клиентите што треба да ги достигнат. OpenVPN 2.6 прирачник ги документира транспортните форми, и пораката е излез од тој избор, не негов влез.

Држете го записот тесен

Запишете ја точната линија со нејзината временска ознака, ефективната транспортна поставка од профилот што работи, socket-от како што го пријавува јадрото, и следната фаза што не успеа. Тие четири ставки решаваат речиси секое прашање што го покренува пораката, и ниту една од нив не бара претпоставка за неврзани услуги. Тие преживуваат и при предавање на работата, што снимката од екранот на grep не го прави.

Предлозите за пакети што доаѓаат заедно со ова предупредување се неврзани додека грешка не наведе отсутна извршна датотека.

Ако ifconfig навистина недостига, демонот го кажува тоа по име кога скриптата го повикува, и тоа заслужува сопствена истрага. Линијата AF_INET и отсутната алатка се различни неуспеси, а инсталирањето работи за да се види дали предупредувањето се менува е патот на кој чист домаќин станува неуреден.