53-р порт дээрх OpenVPN: хүмүүс андуурдаг гурван яриа
Төгсгөлийн цэгийн нэрийг шийдэх, шифрлэгдсэн дамжуулалт, туннелийн дараах DNS нь гурван өөр яриа. Порт эсвэл шийдэгчийг солихоос өмнө аль үе шат бүтэлгүйтсэнийг тодорхойл.
VPN 53-р порт дээр хаагдсан гэж мэдээлдэг тайлангууд өөр өөр шалтгаанаар бүтэлгүйтдэг гурван ажиглалтыг хольдог. Төгсгөлийн цэгийн нэрийг шийдэх нь туннель үүсэхээс өмнө явагддаг, шифрлэгдсэн дамжуулалт нь тусдаа яриа, харин дараа нь хийгдэх DNS асуултууд гурав дахь нь юм. Тус бүр өөрийн бүтэлгүйтлийн тэмдэгтэй бөгөөд тэдгээрийн зөвхөн нэг нь DNS-тэй холбоотой.
Ямар нэгэн зүйлийг өөрчлөхөөс өмнө пакетуудыг зориулалтаар нь эрэмбэл, учир нь засвар нь үе шатыг дагадаг.
Гурван яриа, нэг портын дугаар
Эхний яриа бол төгсгөлийн цэгийн нэрийн хайлт: таны машин тохируулсан шийдэгчээс vpn.example.com хаана байгааг асуудаг бөгөөд тэр хариулт нь клиент нэг ч туннелийн пакет илгээхээс өмнө энгийн DNS-ээр ирдэг. Хоёр дахь нь OpenVPN дамжуулалт өөрөө бөгөөд хайлтын олсон хаяг руу профайл заасан протокол, портоор холбогддог. Гурав дахь нь туннель боссны дараа, аппликейшнүүд нэр асууж, илгээсэн шийдэгчийн тохиргоо хэн хариулахаар шийдэх үед тохиолддог.
Эдгээр гурав бие биенээсээ хамааралгүйгээр амжилттай эсвэл бүтэлгүй болж болно. Клиент өөрийн төгсгөлийн цэгийг төгс шийдсэн ч сонсогчид хүрч чадахгүй байж болох бөгөөд DNS тохиргоо хэзээ ч ирээгүйгээс бүх дотоод нэрийн хайлт бүтэлгүй болж байхад туннель байгуулж болно.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Хүснэгтийг тайлбар биш, шалгах хуудас гэж унш. Төгсгөлийн цэгийн нэр шийдэгдэхгүй бол дараа нь юу ч ажиллахгүй бөгөөд туннель хэзээ ч эхлэхгүй.
Портын дугаар аппликейшнийг нэрлэдэггүй
53-р порт нь уламжлалаар DNS зөөдөг бөгөөд OpenVPN оператор тэнд сонсогч бас нийтэлж болох тул энэ дугаар муу таних тэмдэг юм. UDP 53 дээрх OpenVPN сесс нь одоо ч OpenVPN сесс бөгөөд 53-р порт дээрх серверт илгээсэн DNS асуулга туннель зөвшөөрөгдсөн эсэхийг юу ч хэлэхгүй. Профайлын proto болон remote мөрүүд гадаад төгсгөлийн цэгийг тодорхойлдог; портын дугаар өөрөө юу ч тодорхойлдоггүй.
Оношилгооны үед энэ нь хоёр талдаа хамаатай: 53-р порт руу хийх ерөнхий UDP шалгалт порт хариулж байгааг нотолдог, VPN үйлчилгээ хариулж байгааг бус. Жинхэнэ клиент болон жинхэнэ профайлаар туршиж үз, учир нь үйлчилгээний хүлээж буй гар барилтыг зөвхөн тэр дадлагажуулдаг.
Сүлжээг буруутгахаас өмнө сонсогчийг нотол
Сервер дээр ss -lunp | grep 53 ашиглан юу холбогдсоныг шалгаад профайлын протокол, порттой харьцуул. Клиентийн сүлжээнээс клиентийг илүү дэлгэрэнгүй горимд ажиллуул, ингэснээр лог аль хаяг, дамжуулалтыг оролдсоныг харуулна. Хэрэв сервер сонсож байгаа ч клиентийн пакетууд ирэхгүй бол тэдгээрийг зам эсвэл бодлогоос татгалзаж байгаа бөгөөд энэ нь сүлжээний эзэнтэй хийх яриа болохоос порт солих шалтгаан биш.
Өөр порт нь үйлчилгээ тэнд үнэхээр сонсож, байршуулалт зөвшөөрсөн үед л тусална. Удирдлагатай сүлжээний шүүлтээс зайлсхийхийн тулд сонсогчийг зөөх нь бодлогын шийдвэр болохоос асуудлыг шийдэх алхам биш. Үйлчилгээг солихоос өмнө сүлжээний эзнээс юу зөвшөөрөгдсөнийг асуу, учир нь бодлогыг зөрчсөн тойрог зам дараа нь хаагдана. Тэр хариултыг профайлын дэргэд бичиж үлдээ, дараагийн хүн хүсэлтийг давтахгүйн тулд.
Туннелийн дараах DNS-ийг тусад нь шалга
Туннель боссны дараа VPN интерфэйс дээрх шийдэгчийн төлөвийг үзэж, нэг дотоод, нэг нийтийн нэрийг асуу. Хэрэв туннель урсгал зөөж байхад дотоод нэрс бүтэлгүй болвол илгээсэн DNS тохиргоо хэрэглэгдээгүй бөгөөд энэ нь дамжуулалтын бус, клиентийн интеграцийн асуудал юм. Хэрэв нийтийн нэрс бүтэлгүй болж, дотоод нэрс ажиллаж байвал хуваагдсан туннелийн бодлого тохируулсан ёсоор ажиллаж байна.
DNS өөрчлөлтийг шийдэгчийн эзэнд үлдээ. Нэг тест давтахын тулд удирдлагатай шийдэгчийн тохиргоог дарж бичих нь машины бусад бүх зүйлд хувийн нэрсийг эвдэж болно. Хэрэв туннель шийдэгч илгээж, клиент үүнийг үл тоомсорловол өөр газар статик бичлэг нэмэхийн оронд клиентийн интеграцийг зас. Статик бичлэгүүд хэн нэгэн сүлжээ солих хүртэл бүтэлгүйтлийг нуудаг. Аль шийдэгч аль нэрийн орон зайд хариулах ёстойг бичиж үлдээ.