OpenVPN на портата 53: три разговори што луѓето ги мешаат
Решавањето на името на крајната точка, шифрираниот пренос и DNS по тунелот се три разговори. Утврдете кој чекор откажал пред да смените порта или резолвер.
Извештаите што велат дека VPN-от е блокиран на портата 53 мешаат три набљудувања што откажуваат од различни причини. Решавањето на името на крајната точка се случува пред да постои тунел, шифрираниот пренос е посебен разговор, а DNS-барањата направени потоа се третиот. Секое има свој потпис на отказ, и само едно од нив воопшто се однесува на DNS.
Пред да смените нешто, подредете ги пакетите по намена, бидејќи поправката го следи чекорот.
Три разговори, еден број на порта
Првиот разговор е барање на име за крајната точка: вашиот компјутер го прашува конфигурираниот резолвер каде се наоѓа vpn.example.com, и тој одговор пристигнува преку обичен DNS пред клиентот да испрати и еден тунелски пакет. Вториот е самиот OpenVPN пренос, кој се поврзува со адресата што ја даде барањето на протоколот и портата што ги наведува профилот. Третиот се случува откако тунелот е подигнат, кога апликациите бараат имиња и испратените поставки на резолверот одлучуваат кој ќе одговори.
Овие три можат да успеат или да отказат независно. Клиентот може совршено да ја реши својата крајна точка, а сепак да не стигне до слушателот, и може да воспостави тунел додека секое внатрешно барање на име откажува затоа што DNS-поставките никогаш не пристигнале.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Читајте ја табелата како список за проверка, а не како опис. Ако името на крајната точка не се реши, ништо подоцна не може да работи и тунелот никогаш не започнува.
Бројот на портата не ја именува апликацијата
Портата 53 носи DNS по конвенција, а OpenVPN-операторот може таму да објави и слушател, и токму затоа овој број е слаб идентификатор. OpenVPN-сесијата на UDP 53 е сѐ уште OpenVPN-сесија, а DNS-барањето до сервер на портата 53 не кажува ништо за тоа дали тунелот е дозволен. Редовите proto и remote во профилот ја одредуваат надворешната крајна точка; бројот на портата сам по себе не одредува ништо.
При дијагностика ова сече на две страни: општа UDP-проверка кон портата 53 докажува дека портата одговара, а не дека одговара VPN-услугата. Тестирајте со вистински клиент и вистински профил, бидејќи само тоа го вежба ракувањето што го очекува услугата.
Докажете го слушателот пред да ја обвините мрежата
На серверот проверете што е врзано со ss -lunp | grep 53 и споредете го со протоколот и портата на профилот. Од мрежата на клиентот, стартувајте го клиентот со поголема подробност за да се види во дневникот која адреса и пренос ги обидел. Ако серверот слуша, а пакетите на клиентот не пристигнуваат, патот или политиката ги одбиваат, и тоа е разговор со сопственикот на мрежата, а не причина да ја смените портата.
Друга порта помага само кога услугата навистина слуша таму и распоредувањето го дозволува тоа. Преместувањето на слушателот за да се избегне филтрирањето на управувана мрежа е одлука за политика, а не чекор за отстранување проблеми. Прашајте го сопственикот на мрежата што е дозволено пред да ја смените услугата, бидејќи заобиколницата што ја крши политиката подоцна сепак се затвора. Запишете го тој одговор покрај профилот за следниот човек да не го повтори барањето.
Проверете го DNS по тунелот, одделно
Откако тунелот е подигнат, прегледајте ја состојбата на резолверот на VPN-интерфејсот и побарајте едно внатрешно и едно јавно име. Ако внатрешните имиња откажуваат додека тунелот носи сообраќај, испратените DNS-поставки не се применети, што е прашање на интеграција на клиентот, а не на пренос. Ако јавните имиња откажуваат, а внатрешните работат, политиката на поделен тунел го прави тоа за што е конфигурирана.
Оставете ги DNS-промените кај сопственикот на резолверот. Препишувањето на управувана конфигурација на резолверот за да помине еден тест може да ги скрши приватните имиња за сѐ друго на машината. Ако тунелот испраќа резолвер, а клиентот го игнорира, поправете ја интеграцијата на клиентот наместо да додадете статичен запис на друго место. Статичните записи го кријат отказот додека некој не ја смени мрежата. Запишете кој резолвер треба да одговара на кој именски простор.