VPN холбогдоход шуудан илгээх нь бүтэлгүйтдэг: үе шатыг ол

Өглөөжин ажиллаж байсан шуудан туннель өргөгдөх мөчид зогсдог бөгөөд эхний зөн совин нь нууц үгийг дахин бичих байдаг. Энэ зөн совин илүү ашигтай асуултыг алгасдаг: клиент серверт хүрсэн эсэх, мөн итгэмжлэл санал болгох хангалттай хол явсан эсэх? Хугацаа хэтрэлт, гэрчилгээний алдаа болон татгалзлын хариу нь гурван өөр бүтэлгүйтэл бөгөөд зөвхөн гурав дахь нь бүртгэлтэй холбоотой. Үе шатуудыг дараалан үзвэл VPN нь буруутгах сэжигтэн биш, туршиж болох хувьсагч болно.

1-р алхам: итгэмжлэлд хүрэхээс өмнө бүтэлгүйтлийг ангил

Программ үнэхээр үүсгэсэн алдааг уншаад, дараа нь гурван сагсны нэгэнд хий. Хугацаа хэтрэлт эсвэл холболт дахин тохируулагдах нь TCP зам бүтэлгүйтсэнийг илэрхийлнэ; TLS эсвэл гэрчилгээний алдаа нь зам ажилласан ч гар барилт ажиллаагүйг илэрхийлнэ; кодтой SMTP хариу нь шуудангийн сервер хариулж шийдвэр гаргасныг илэрхийлнэ. Сагс бүр өөр хариуцлагатай этгээд рүү заана.

Сагсуудыг ялгах нь үнэ цэнэтэй, учир нь засварууд хоорондоо зөрчилддөг. Сервер илгээгчийг татгалзах үед хугацаа хэтрэлтийг уртасгах нь тус болохгүй, зам хаагдсан үед нууц үг солих нь юу ч хийхгүй. Хариу код нь жагсаалтын хамгийн үнэтэй нотолгоо, учир нь бүхэл тээврийн хэлхээ ажиллаж, асуудал бодлого эсвэл таних тэмдэгт байгааг нотолдог. Дахин оролдохын өмнө яг текстийг, түүний дотор аливаа өргөтгөсөн төлөвийн кодыг хадгал.

Хэрэв бүтэлгүйтлийг VPN-ээс гадна давтан гаргаж чадахгүй бол энд зогсо. Нэг машины нэг програмд илэрсэн асуудал хараахан сүлжээний асуудал биш.

2-р алхам: төгсгөлийн цэг болон TLS горимыг батал

Мессеж илгээх нь тусдаа үйлчилгээ бөгөөд серверээс сервер рүү дамжуулахтай ижил зүйл биш. Илгээх талаар үйлчилгээ үзүүлэгчийн баримт бичгээс хост нэр, порт болон TLS горимыг батал, учир нь өөр шуудангийн тохиргооноос зээлсэн танил порт нотолгоо биш. 587 порт энгийн текст мэндчилгээ, дараа нь STARTTLS хүлээдэг бол 465 порт эхний байтаас TLS хүлээдэг.

openssl s_client -connect smtp.example.com:465 -servername smtp.example.com -quiet
openssl s_client -starttls smtp -connect smtp.example.com:587 -servername smtp.example.com -quiet
nc -vz smtp.example.com 587

Хоёр шалгалтын буруугийг ажиллуулах нь клиент нөгөө горимд тохируулагдсан үед гаргадаг яг тэр алдаа юм. Хэрэв далд TLS шалгалт 587 дээр гацах, эсвэл STARTTLS шалгалт 465 дээр бүтэлгүйтвэл порт болон горим тохирохгүй. Гэрчилгээний шалгалтыг унтраахын оронд горимыг клиент дээр засаж, учир нь энэ нь тохиргооны алдааг шалгагдаагүй холболт болгоно. Энэ хуваагдал стандартлагдах хэмжээнд хуучин: 465 порт дээрх далд TLS нь RFC 8314-д тайлбарласан зохион байгуулалт.

Энд гэрчилгээний алдаа нь саад биш мэдээлэл. Энэ нь серверийн танилцуулсан таних тэмдэг болон клиентийн хүлээсэн таних тэмдгийг нэрлэдэг бөгөөд хоёуланг нь холболтыг сулруулахгүйгээр засах боломжтой.

3-р алхам: бүртгэлийг өөрчлөхгүйгээр замуудыг харьцуул

Төгсгөлийн цэг, бүртгэл болон клиентийн тохиргоог тогтмол байлгаж, зөвхөн замыг өөрчил. Нэг удаа туннель буусан үед, нэг удаа өргөгдсөн үед илгээж, серверийн харах маршрут болон эх хаягийг тэмдэглэ. Хэрэв алдаа замыг дагавал та үүнийг тусгаарласан; машиныг дагавал тусгаарлаагүй.

ip route get smtp.example.com
curl -v --ssl-reqd --url smtp://smtp.example.com:587 --user "$SMTP_USER" \
  --mail-from [email protected] --mail-rcpt [email protected] --upload-file msg.txt

Бүрэн туннель нь үйлчилгээ үзүүлэгчийн харж буй эх хаягийг өөрчилдөг бөгөөд зарим үйлчилгээ үзүүлэгч танил бус эх сурвалжид танил бус нууц үгээс илүү хатуу хандана. Энэ нь тэдний талын бодлогын шийдвэр бөгөөд саарал жагсаалт, хурдны хязгаар эсвэл блок байж болно. Нэг үйлчилгээ үзүүлэгчээс бүгдэд ерөнхийлж болохгүй, дутуу NAT дүрэм бүх алдааг тайлбарлана гэж бүү бод. curl-ийн бүртгэл аль үе шат бүтэлгүйтсэнийг харуулна, програмын өөрийн лог харуулахгүй байсан ч.

Хэрэв туннель интернэт трафик дамжуулах ёстой бол түүний маршрутчлал болон гарцын бодлого хоёулаа энэ очих газрыг зөвшөөрөх ёстой. Зөвхөн хувийн маршрут дамжуулдаг туннель шуудангийн холболтыг орон нутгийн зам дээр үлдээдэг бөгөөд энэ нь өөр харьцуулалт.

4-р алхам: нэг хор хөнөөлгүй мессеж илгээж, хариуг тэмдэглэ

Бүтэлгүйтсэн үе шатыг засаад, дараа нь вэб шуудангийн хуудас биш, ижил програмаар нэг хор хөнөөлгүй мессеж илгээ. Та програмын өөрийн илгээх замыг шалгаж байгаа бөгөөд хадгалсан тохиргоо болон TLS горимыг оролцуулан. Вэб шуудангийн сесс энэ талаар юу ч нотлохгүй.

Хариу, порт, TLS горим болон ашигласан замаа тэмдэглэ, дараагийн хүн үр дүнг давтан гаргаж чадахын тулд. Ажиллаж буй хөтөч болон ногоон VPN дүрс нь бусад зүйлийн талаарх ажиглалт. Хэрэв мессеж хүрвэл, үлдсэн ажил нь энэ тохиргоог энэ бүртгэлээр илгээдэг бүх машинд өгөгдмөл болгох.

Шалгах хуудас нь бүтэлгүйтсэн үе шат, клиентийн ашигладаг порт болон TLS горим, мессежийн явсан зам, серверийн буцаасан хариуг нэрлэж чадвал бүрэн болно. Эдгээр дөрвөн баримт нь бүрхэг илгээх хайрцагны асуудлыг хэн нэгэн хянаж болох өөрчлөлт болгоно.