OpenVPN профайл гэрт ажилладаг ч зочид буудалд яагаад бүтэлгүйтдэг

Оффисын Wi-Fi болон зочид буудлын өрөө нэг л зөөврийн компьютерт хоёр тэс өөр сүлжээ өгч болох бөгөөд тэдгээрийн хоорондох профайл энэ тухай юу ч мэдэхгүй. Гэрт ажилладаг тохиргоо нь өгөөмөр дээд холболт, ажилладаг нэр шийдэлт, туннелийн зөөдөг юутай ч мөргөлдөхгүй локал дэд сүлжээг урьдчилан таамагладаг. Эдгээр таамаглал бүр тус тусдаа бүтэлгүйтэж болно.

Үүнийг засах ашигтай арга бол сүлжээг дөрвөн тусдаа баримт гэж үзэж, дараа нь дарааллаар нь шалгах юм. Эхлээд профайлын талаар таамаглах нь ихэвчлэн юу ч засахгүй, нотолгоог бүрхэх өөрчлөлт гаргадаг.

Дөрвөн сүлжээний баримт газраас газар өөрчлөгддөг

Эхний баримт бол локал сүлжээ таныг ерөөсөө гаргаж байгаа эсэх юм. Нэвтрэх портал төхөөрөмжийг нэвтрэх хуудас руу оруулж, тэр хуудас дуустал бусад бүхнийг блоклодог, өөрөөр хэлбэл профайл хичнээн зөв байсан ч туннель эхэлж чадахгүй.

Хоёр дахь нь нэр шийдэлт. DNS-ийг таслан авдаг портал асуулт бүрт өөрийн хаягаар хариулдаг тул VPN хост нэр портал руу шийдэгдэж, клиент вэб хуудас руу туннель барихыг оролддог.

Гурав дахь нь дамжуулалтын шүүлт. Зөвхөн үзэхийг зөвшөөрөх сүлжээнүүд TCP 443-ыг дурын зорчих газар руу нэвтрүүлж, UDP-г оролцуулан бараг бүхнийг хаядаг.

Дөрөв дэх нь хаяглалт. Локал дэд сүлжээ туннелийн цаанаах сүлжээтэй давхарлаж болно, эсвэл дээд холболт ямар ч ашигтай IPv4 зам өгөхгүй байж болно.

Нэр шийдэлт ба нэвтрэх портал

Профайл дахь хост нэрийг серверийн тоон хаягаар сольж дахин оролдоно уу. Хэрэв IP холбогдож, нэр нь холбогдохгүй бол буруу нь нэр шийдэлт бөгөөд профайл өөрөө хэвийн байна.

VPN-д хүрэхээс өмнө хөтөч нээж энгийн HTTP хуудсыг оролдоно уу. Нэвтрэх хуудас руу дахин чиглүүлэх нь портал хараахан хүлээж байгааг илтгэнэ; үүнийг дуусгаад дахин холбогдоно уу. Олон зочид буудал хэдэн цагийн дараа сессийг дуусгадаг нь нэвтрэх асуудал биш, өдрийн дундуур тасралт мэт харагддаг.

Хэрэв тоон хаяг ч бүтэлгүйтвэл нэр шийдэлт тайлбар биш тул дамжуулалт руу шилжинэ үү. Туршисан хаягаа хадгал, учир нь энэ нь пакетууд машин завсраас гарсан эсэхийг дараагийн шалгалтад хэлнэ.

Дамжуулалтын шүүлт: эхлээд UDP, нөөцөөр TCP 443

UDP 1194 дээгүүрх OpenVPN урсгал зочид буудлын галт хана таних юутай ч төстэй биш тул алдаагүй хаягдана. Клиент хугацаа дуустал дахин оролддог бөгөөд хэрэглэгч татгалзал биш, хэзээ ч тогтохгүй холболтыг хардаг. Ийм зан гаргадаг галт ханууд хаясныг тань харагдах газарт ховор бүртгэдэг. Татгалзал байхгүй нь өөрөө сэжүүр юм.

TCP 443 нь найдвартай нөөц, учир нь сүлжээ үүнийг энгийн HTTPS-ээс ялгаж чадахгүй. Операторын TCP профайл байвал ашигла, учир нь сервер ч мөн тэр дамжуулалт, порт дээр сонсох ёстой; зөвхөн клиентийг өөрчлөх нь өөр төрлийн бүтэлгүйтэл үүсгэдэг. TCP профайл байхгүй бол портыг засаж шинийг зохиохын оронд оператороос асуу. Серверийн тал ч зөвшөөрөх ёстой бөгөөд зөрүү нь дахин галт хананы асуудал мэт харагдана.

Гүйцэтгэлийн үнийг хүлээ. TCP-ийн доторх TCP алдагдалтай холболт дээр дахин дамжуулалтыг нэмэгдүүлдэг тул ажиллаж байгаа TCP туннель ч зогсонги зочид буудлын сүлжээнд удаан мэт мэдрэгдэж болно. Энэ нь хүртээмжийн төлөөх солилцоо, хөөх алдаа биш.

Хаягийн мөргөлдөөн ба IPv4-гүй дээд холболт

Туннель тогтож, гэсэн хэдий ч юу ч зөөхгүй байж болно. Локал LAN болон алсын сүлжээ 192.168.1.0/24 зэрэг угтварыг хуваалцах үед клиент алсын хостыг шууд холбогдсон гэж үзэж, пакетыг туннель биш локал холболт руу илгээдэг. Шинж тэмдэг нь нэг хүрэхгүй дэд сүлжээтэй амжилттай холболт бөгөөд үүнийг серверийн талын маршрутын асуудал гэж буруу уншихад амархан.

Байнгын шийдэл нь алсын LAN-ыг ховор хэрэглэгддэг хувийн мужид шилжүүлэх юм. Гэрт хэн ч хэрэглэдэггүй муж сонгох нь, жишээ нь 10.42.0.0/24, асуудлыг нэг биш бүх ирээдүйн газарт сэргийлдэг. Локал орхих арга бол тэр зочид буудал, хотспот эсвэл чиглүүлэгчээс зайлсхийх бөгөөд энэ нь огт шийдэл биш.

Мобайл дээд холболт хоёр хувилбар нэмдэг. Операторын түвшний NAT нь орж ирэх холболт ирэхгүй гэсэн үг бөгөөд сервер байршуулж байгаа бол чухал, гарч байгаа клиентэд биш. NAT64 орчуулгатай зөвхөн IPv6 гэж тохируулсан APN нь жинхэнэ IPv4 зам шаарддаг клиентийг унагаж болох бөгөөд ердийн эм нь APN протоколыг IPv4 эсвэл хос стек болгох юм.

Туннель боссны дараах шинж тэмдэг

Холбогдсоны дараа чимээгүй болдог туннель нь ихэвчлэн keepalive эсвэл MTU-ийн асуудал, хаагдсан порт биш. Тодорхой минутын дараа унадаг холболт нь keepalive эсвэл дахин хэлэлцээрийн таймер руу заана. Хариу зогсоход клиентийг түншийг шалгаж дахин эхлүүлэхээр тохируулж, ping өнгөрч том дамжуулалт гацвал бага зэрэг туннелийн MTU-г туршиж үзээрэй.

Тусламж хүртэхээс өмнө гурван зүйлийг бичиж аваарай: туршсан хаяг болон тэр хариулсан эсэх, хэрэглэсэн дамжуулалт, порт, мөн бүтэлгүйтсэн сүлжээний локал дэд сүлжээ. Хамтдаа тэд нэр шийдэлтийг дамжуулалтын шүүлтээс болон хаягийн мөргөлдөөнөөс тусгаарладаг бөгөөд нотолгоотой тулгарах үед тэсдэг шалтгаан нь эдгээр юм.