പോർട്ട് 53-ലെ OpenVPN: ആളുകൾ കൂട്ടിക്കുഴയ്ക്കുന്ന മൂന്ന് സംഭാഷണങ്ങൾ
എൻഡ്പോയിന്റ് നാമപരിഹാരം, എൻക്രിപ്റ്റ് ചെയ്ത ട്രാൻസ്പോർട്ട്, ടണലിനു ശേഷമുള്ള DNS എന്നിവ മൂന്ന് വ്യത്യസ്ത സംഭാഷണങ്ങളാണ്. പോർട്ടോ റിസോൾവറോ മാറ്റുന്നതിന് മുമ്പ് ഏത് ഘട്ടമാണ് പരാജയപ്പെട്ടതെന്ന് കണ്ടെത്തുക.
VPN പോർട്ട് 53-ൽ തടയപ്പെട്ടിരിക്കുന്നു എന്ന് പറയുന്ന റിപ്പോർട്ടുകൾ വ്യത്യസ്ത കാരണങ്ങളാൽ പരാജയപ്പെടുന്ന മൂന്ന് നിരീക്ഷണങ്ങൾ കൂട്ടിക്കലർത്തുന്നു. എൻഡ്പോയിന്റിന്റെ പേര് പരിഹരിക്കുന്നത് ഒരു ടണൽ നിലവിലുണ്ടാകുന്നതിന് മുമ്പ് സംഭവിക്കുന്നു, എൻക്രിപ്റ്റ് ചെയ്ത ട്രാൻസ്പോർട്ട് പ്രത്യേക സംഭാഷണമാണ്, അതിനുശേഷം നടത്തുന്ന DNS ചോദ്യങ്ങൾ മൂന്നാമത്തേതാണ്. ഓരോന്നിനും സ്വന്തം പരാജയാടയാളം ഉണ്ട്, അവയിൽ ഒന്ന് മാത്രമാണ് DNS-നെക്കുറിച്ചുള്ളത്.
എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് പാക്കറ്റുകൾ ഉദ്ദേശ്യമനുസരിച്ച് അടുക്കുക, കാരണം പരിഹാരം ഘട്ടത്തെ പിന്തുടരുന്നു.
മൂന്ന് സംഭാഷണങ്ങൾ, ഒരു പോർട്ട് നമ്പർ
ആദ്യ സംഭാഷണം എൻഡ്പോയിന്റിനുള്ള നാമതിരച്ചിലാണ്: നിങ്ങളുടെ യന്ത്രം കോൺഫിഗർ ചെയ്ത റിസോൾവറിനോട് vpn.example.com എവിടെയാണെന്ന് ചോദിക്കുന്നു, ആ ഉത്തരം ക്ലയന്റ് ഒരു ടണൽ പാക്കറ്റ് പോലും അയക്കുന്നതിന് മുമ്പ് സാധാരണ DNS വഴി എത്തുന്നു. രണ്ടാമത്തത് OpenVPN ട്രാൻസ്പോർട്ട് തന്നെയാണ്, അത് തിരച്ചിൽ നൽകിയ വിലാസത്തിലേക്ക് പ്രൊഫൈൽ പറയുന്ന പ്രോട്ടോക്കോളിലും പോർട്ടിലും ബന്ധിപ്പിക്കുന്നു. മൂന്നാമത്തത് ടണൽ ഉയർന്നതിന് ശേഷം സംഭവിക്കുന്നു, ആപ്പുകൾ പേരുകൾ ചോദിക്കുമ്പോൾ എത്തിച്ച റിസോൾവർ ക്രമീകരണങ്ങൾ ആരാണ് ഉത്തരം നൽകുകയെന്ന് തീരുമാനിക്കുന്നു.
ഈ മൂന്നും സ്വതന്ത്രമായി വിജയിക്കാം അല്ലെങ്കിൽ പരാജയപ്പെടാം. ഒരു ക്ലയന്റിന് സ്വന്തം എൻഡ്പോയിന്റ് തികച്ചും പരിഹരിക്കാനാകും, എന്നിട്ടും ശ്രോതാവിനെ എത്തിപ്പിടിക്കാതിരിക്കാം, ഒപ്പം DNS ക്രമീകരണങ്ങൾ ഒരിക്കലും എത്താത്തതിനാൽ എല്ലാ ആന്തരിക നാമതിരച്ചിലും പരാജയപ്പെടുമ്പോഴും അതിന് ടണൽ സ്ഥാപിക്കാനാകും.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
പട്ടികയെ ഒരു വിവരണമായല്ല, പരിശോധനാപട്ടികയായി വായിക്കുക. എൻഡ്പോയിന്റിന്റെ പേര് പരിഹരിക്കപ്പെട്ടില്ലെങ്കിൽ പിന്നീട് ഒന്നും പ്രവർത്തിക്കാനാകില്ല, ടണൽ ഒരിക്കലും ആരംഭിക്കുകയുമില്ല.
പോർട്ട് നമ്പർ ആപ്പിനെ പേരിടുന്നില്ല
പോർട്ട് 53 സമ്പ്രദായപ്രകാരം DNS വഹിക്കുന്നു, ഒരു OpenVPN ഓപ്പറേറ്റർക്ക് അവിടെ ഒരു ശ്രോതാവും പ്രസിദ്ധീകരിക്കാം, അതുകൊണ്ടുതന്നെ ഈ നമ്പർ മോശം ഐഡന്റിഫയറാണ്. UDP 53-ലെ OpenVPN സെഷൻ ഇപ്പോഴും OpenVPN സെഷനാണ്, പോർട്ട് 53-ലെ സെർവറിലേക്കുള്ള DNS ചോദ്യം ടണൽ അനുവദിക്കപ്പെട്ടിട്ടുണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. പ്രൊഫൈലിലെ proto, remote വരികൾ പുറം എൻഡ്പോയിന്റ് നിർവ്വചിക്കുന്നു; പോർട്ട് നമ്പർ സ്വയം ഒന്നും നിർവ്വചിക്കുന്നില്ല.
രോഗനിർണയത്തിൽ ഇത് ഇരുവശത്തേക്കും മുറിക്കുന്നു: പോർട്ട് 53-ലേക്കുള്ള പൊതുവായ UDP പരിശോധന ഒരു പോർട്ട് ഉത്തരം നൽകുന്നു എന്ന് തെളിയിക്കുന്നു, VPN സേവനം ഉത്തരം നൽകുന്നു എന്നല്ല. യഥാർത്ഥ ക്ലയന്റും യഥാർത്ഥ പ്രൊഫൈലും ഉപയോഗിച്ച് പരിശോധിക്കുക, കാരണം സേവനം പ്രതീക്ഷിക്കുന്ന ഹാൻഡ്ഷേക്ക് പരിശീലിപ്പിക്കുന്നത് അതു മാത്രമാണ്.
നെറ്റ്വർക്കിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് ശ്രോതാവിനെ തെളിയിക്കുക
സെർവറിൽ ss -lunp | grep 53 ഉപയോഗിച്ച് എന്താണ് ബന്ധിപ്പിച്ചിരിക്കുന്നതെന്ന് പരിശോധിച്ച് പ്രൊഫൈലിലെ പ്രോട്ടോക്കോളും പോർട്ടും ആയി താരതമ്യം ചെയ്യുക. ക്ലയന്റിന്റെ നെറ്റ്വർക്കിൽ നിന്ന്, കൂടുതൽ വിശദാംശത്തോടെ ക്ലയന്റ് പ്രവർത്തിപ്പിക്കുക, ഏത് വിലാസവും ട്രാൻസ്പോർട്ടും ശ്രമിച്ചുവെന്ന് ലോഗ് കാണിക്കും. സെർവർ കേൾക്കുന്നുണ്ടെങ്കിലും ക്ലയന്റിന്റെ പാക്കറ്റുകൾ എത്തുന്നില്ലെങ്കിൽ, പാതയോ നയമോ അവ നിരസിക്കുന്നു, അത് നെറ്റ്വർക്ക് ഉടമയുമായുള്ള സംഭാഷണമാണ്, പോർട്ട് മാറ്റാനുള്ള കാരണമല്ല.
മറ്റൊരു പോർട്ട് സഹായിക്കുന്നത് സേവനം യഥാർത്ഥത്തിൽ അവിടെ കേൾക്കുകയും വിന്യാസം അത് അനുവദിക്കുകയും ചെയ്യുമ്പോൾ മാത്രമാണ്. നിയന്ത്രിത നെറ്റ്വർക്കിന്റെ ഫിൽട്ടറിംഗ് ഒഴിവാക്കാൻ ശ്രോതാവിനെ മാറ്റുന്നത് ഒരു നയ തീരുമാനമാണ്, പ്രശ്നപരിഹാര ഘട്ടമല്ല. സേവനം മാറ്റുന്നതിന് മുമ്പ് നെറ്റ്വർക്ക് ഉടമയോട് എന്താണ് അനുവദനീയമെന്ന് ചോദിക്കുക, കാരണം നയം ലംഘിക്കുന്ന വഴിത്തിരിവ് പിന്നീട് എങ്ങനെയും അടയ്ക്കപ്പെടും. ആ ഉത്തരം പ്രൊഫൈലിന് അരികിൽ കുറിച്ചുവയ്ക്കുക, അടുത്തയാൾ അഭ്യർത്ഥന ആവർത്തിക്കാതിരിക്കാൻ.
ടണലിന് ശേഷം DNS വെവ്വേറെ പരിശോധിക്കുക
ടണൽ ഉയർന്നുകഴിഞ്ഞാൽ, VPN ഇന്റർഫേസിലെ റിസോൾവർ അവസ്ഥ പരിശോധിച്ച് ഒരു ആന്തരിക നാമവും ഒരു പൊതു നാമവും ചോദിക്കുക. ടണൽ ട്രാഫിക് വഹിക്കുമ്പോൾ ആന്തരിക നാമങ്ങൾ പരാജയപ്പെട്ടാൽ, എത്തിച്ച DNS ക്രമീകരണങ്ങൾ പ്രയോഗിച്ചിട്ടില്ല, അത് ട്രാൻസ്പോർട്ടിന്റെയല്ല, ക്ലയന്റ് സംയോജനത്തിന്റെ ചോദ്യമാണ്. പൊതു നാമങ്ങൾ പരാജയപ്പെടുകയും ആന്തരിക നാമങ്ങൾ പ്രവർത്തിക്കുകയും ചെയ്താൽ, വിഭജിത ടണൽ നയം കോൺഫിഗർ ചെയ്തത് ചെയ്യുന്നു.
DNS മാറ്റങ്ങൾ റിസോൾവർ ഉടമയ്ക്ക് വിടുക. ഒരു പരിശോധന വിജയിക്കാൻ നിയന്ത്രിത റിസോൾവർ കോൺഫിഗറേഷൻ മേലെഴുതുന്നത് യന്ത്രത്തിലെ മറ്റെല്ലാത്തിനും സ്വകാര്യ നാമങ്ങൾ തകർക്കാം. ടണൽ ഒരു റിസോൾവർ എത്തിക്കുകയും ക്ലയന്റ് അത് അവഗണിക്കുകയും ചെയ്താൽ, മറ്റെവിടെയെങ്കിലും സ്ഥിര എൻട്രി ചേർക്കുന്നതിന് പകരം ക്ലയന്റ് സംയോജനം പരിഹരിക്കുക. സ്ഥിര എൻട്രികൾ ആരെങ്കിലും നെറ്റ്വർക്ക് മാറ്റുന്നതുവരെ പരാജയം മറയ്ക്കുന്നു. ഏത് റിസോൾവർ ഏത് നാമമേഖലയ്ക്ക് ഉത്തരം നൽകണമെന്ന് എഴുതിവയ്ക്കുക.