OpenVPN AF_INET анхааруулга: хор хөнөөлгүй буцалт уу, эсвэл бүтэлгүй socket уу?

OpenVPN-ийн хоёр лог мөр ижил үгээр эхэлдэг бөгөөд зөвхөн нэг нь асуудлыг мэдээлдэг. Could not determine IPv4/IPv6 protocol. Using AF_INET нь буцалтын мэдэгдэл: профайл хаягийн гэр бүлийг нээлттэй үлдээсэн тул демон нэгийг сонгоод үргэлжлүүлэв. Бүтэлгүй салбар нь socket үүсээгүй гэж мэдээлж, дахин эхлүүлэхийг шаарддаг. Нийтлэг угтварын дараах бүхэн тэднийг ялгадаг тул ямар нэгэн зүйл өөрчлөхөөс өмнө түүнээс цааш уншина уу.

Буцалтын мэдэгдэл юу гэж мэдээлдэг

OpenVPN нь тодорхой гэр бүлийг proto udp4 эсвэл proto udp6-аар хүлээн авдаг бөгөөд гэр бүлийг эхлүүлэх үед гаргах шаардлагатай үед proto udp-ыг хүлээн авдаг. Хоёр дахь тохиолдолд демон локал bind мэдээллийг шалгаж, сонгоно.

Тухайн гаргалт ажиллах үед анхааруулга аль зүг рүү явсныг хэлж, процесс socket үүсгэхийг үргэлжлүүлнэ. Хос стектэй хост дээр proto udp-тай сервер ихэвчлэн ингэж IPv4 дээр ирдэг. Тэр замд юу ч алдаа биш бөгөөд дотор нь халдлага, дутуу вэб сервер эсвэл татгалзсан бүртгэлийг заасан зүйл байхгүй. Мөр нь зөвхөн дараагийн шалгалтуудыг түүний нэрлэсэн гэр бүлтэй харьцуулах ёстой учраас ашигтай.

Үүнийг нэг асуултын хариулт гэж үзэж, оношлогоо гэж битгий үзээрэй. Энэ процесс аль гэр бүлийг сонгосныг хэлдэг бөгөөд клиент яагаад холбогдож чадахгүй байгаа тухай юу ч хэлдэггүй.

Бүтэлгүй салбар ямар харагдах вэ

Дараа нь мөн socket-ийн кодонд socket огт байхгүй салбар байдаг. Энэ нь богино хаягийн гэр бүлийн мессежийг бичиж, үргэлжлүүлэх зүйл үлдээгүй тул дахин эхлүүлэхийг хүсдэг. Эхний үгс буцалттай давхцдаг; үр дүн нь давхцдаггүй.

Тэдгээрийг дараа нь юу ирж байгаагаар нь ялгаарай. Хэрэв демон үргэлжлүүлэн ажиллаж, сонсогчоо мэдээлбэл, мөр нь мэдээлэл байсан. Хэрэв гарах эсвэл давталтад дахин эхэлбэл, яриа одоо bind-ийн тухай.

grep-ээс олдсон зүйл нь салбарыг тодорхойлох биш юм. Энэ хэллэг эргэлдсэн хураангуй, эвхсэн мөр, хүмүүсийн хоёр дахь гараас буулгасан лог хэсгүүдэд гарч ирдэг тул ганц тохирлыг биш, хажуугийн мөрүүд болон цагийн тэмдгийн дарааллыг уншина уу.

Анхааруулгын оронд сонсогчийг шалгаарай

Ажиллаж буй сервер гэр бүлийн асуултад лог текстээс дүгнэлт хийхгүйгээр шууд хариулна.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Гэр бүл, хаяг, портыг профайлтай тааруулаарай. 0.0.0.0:1194 мөр нь зөвхөн IPv4, харин хос стектэй хост дээрх [::]:1194 мөр нь bindv6only тохиргооноос хамаарч хоёр гэр бүлийг хүлээн авч болно. Хэрэв профайл udp гэж хэлж, socket нь IPv4 бол, шийдэгч нь зөвхөн AAAA бичлэг буцаадаг клиентүүд туннелийн талаар хэлэлцэхээс өмнө бүтэлгүйтнэ.

Дараа нь хэрэглэгчидтэй тань төстэй клиентээс туршаарай: ижил шийдэгчийн зам, ижил төрлийн сүлжээ. Серверээс локал холболт нь NAT төхөөрөмж эсвэл нөгөө гэр бүлд зориулж бичсэн галт хананы дүрмээр дамждаг траффикийн тухай маш бага зүйлийг нотолдог.

Гэр бүлийг албадах нь хэзээ зөв вэ

proto udp4-ыг бэхлэх нь зөвхөн IPv4 байршуулалтад тохирно: зөвхөн A төрлийн DNS нэр, нэг v4 хаягт зориулсан галт хананы дүрэм, зөвхөн v4 хаяг олгодог операторуудын ард байх клиентүүд. Энэ нь хоёрдмол байдлыг арилгаж, дараагийн лог мөрүүдийг урьдчилан таамаглах боломжтой болгоно.

Мөн адил үндэслэл IPv6-г тэргүүлэх орчинд эсрэг чиглэлд ажилладаг бөгөөд зөвхөн A клиент баазын өмнө udp6 нь өөрийн үүсгэсэн тасалдал юм. Зөвхөн хор хөнөөлгүй анхааруулгыг дуугүй болгохын тулд гэр бүлийг албадах нь энэ алдааны сонгодог хувилбар, учир нь илүү тайван логны төлөө хэн холбогдож болохыг өөрчилсөн.

Төгсгөлийн цэгүүд болон тэдгээрт хүрэх ёстой клиентүүдэд үндэслэн сонгоно уу. OpenVPN 2.6 гарын авлага нь тээврийн хэлбэрүүдийг баримтжуулдаг бөгөөд мессеж нь тухайн сонголтын гаралт, түүний оролт биш.

Бичлэгийг нарийн байлгаарай

Яг мөрийг цагийн тэмдэгтэй нь, ажиллаж буй профайлын үр дүнтэй тээврийн тохиргоог, цөм мэдээлсэн socket-ыг, болон бүтэлгүй болсон дараагийн үе шатыг бичиж тэмдэглээрэй. Тэр дөрвөн зүйл мессежийн дэвшүүлсэн бараг бүх асуултыг шийддэг бөгөөд тэдгээрийн аль нь ч холбоогүй үйлчилгээний талаар таамаглах шаардлагагүй. Тэд ажлыг шилжүүлэхэд ч хадгалагддаг, grep-ийн дэлгэцийн зураг тэгдэггүй.

Энэ анхааруулгатай хамт ирж буй багцын саналууд нь алдаа дутуу гүйцэтгэх файлыг нэрлэх хүртэл холбоогүй.

Хэрэв ifconfig үнэхээр байхгүй бол скрипт түүнийг дуудах үед демон нэрээр нь хэлдэг бөгөөд энэ нь тусдаа мөрдөн шалгалт хийх ёстой. AF_INET мөр болон дутуу хэрэгсэл нь өөр өөр бүтэлгүйтэл бөгөөд анхааруулга өөрчлөгдөж байгаа эсэхийг харахын тулд зүйл суулгах нь цэвэр хост замбараагүй болох зам юм.