OpenVPN гэрт ажилладаг ч нэг сүлжээнд ажиллахгүй: UDP эсвэл TCP?

Ижил профайл гэрээс холбогдож, зочид буудал, кампус эсвэл салбарын сүлжээнд зогсдог. Нэвтрэх мэдээлэл өөрчлөгдөөгүй тул сонирхолтой хувьсагч бол зам: OpenVPN пакетуудыг уншихаас өмнө тэдэнд юу тохиолдох вэ. Туршиж болох дарааллаар дөрвөн боломжит шалтгааныг харьцуулах нь гэрчилгээний талаар таамаглахаас дээр. Тус бүр өөр ул мөр үлдээдэг бөгөөд тэр ул мөр нь тэднийг ялгадаг.

Аль үе шат бүтэлгүйтсэн нь аль харьцуулалт чухал болохыг хэлнэ

Клиентийн лог хэр хол явсныг аль хэдийн тэмдэглэсэн. TLS түлхүүрийн тохиролцоо хугацаанд болоогүй гэсэн мөр нь эхний пакет гарч, хэрэгтэй хариу буцаж ирээгүй гэсэн үг бөгөөд энэ нь зам руу заана. Гэрчилгээний татгалзал огт өөр харагдана: хариу ирж, дараа нь тодорхой баталгаажуулалтын алдаа шалтгааныг нэрлэнэ. Дахин оролдлогын циклийн өмнөх сүүлийн мөрийг тэмдэглэ, учир нь сүлжээнүүдийн хооронд харьцуулах утга нь тэр.

Дараа нь биш, дахин оролдож байхдаа бичлэг хий. Клиент дээр tcpdump -ni any udp port 1194 ямар нэг хариу огт ирж байгаа эсэхийг харуулна. Өөрийн удирддаг серверийн WAN интерфэйс дээр давт, энэ нь тэдгээр пакетууд холын төгсгөлд огт хүрч байгаа эсэхийг илрүүлнэ.

Нэг талын урсгал нь энд боломжтой хамгийн ашигтай үр дүн, учир нь тогтмол бус гомдлыг мөрдөн шалгах чиглэл болгон хувиргадаг. Бичлэгийн файлуудыг хадгал, учир нь ижил асуудлын дараагийн мэдээг тайлбараас илүү нотолгоогоор хаах нь илүү хялбар.

UDP шүүлт хаалттай портын эсрэг

Олон хандалтын сүлжээ тасралтгүй UDP-г сэжигтэй гэж үздэг, зарим ISP тэдэнтэй санал нийлдэг. Хаалттай порт клиентийн талаас ижил чимээгүй байдлыг үүсгэдэг. Ялгаа нь сонгомжтой байдал: шүүлт аль очих газар эсвэл портыг хаях тал дээр сонгомжтой байдаг бол хаалттай порт тэр порт руу чиглэсэн бүгдийг татгалздаг.

443 порт дээрх TCP профайл бол ердийн шийдэл, учир нь энэ нь энгийн HTTPS урсгалтай төстэй бөгөөд ихэнх captive портал, гарах шүүлтээр дамждаг. Хоёр нөхцөл биелэх ёстой. Сервер proto tcp-server -аар сонсож, клиент proto tcp-client -той тохирох ёстой бөгөөд оператор тэр өөр endpoint-ийг нийтлэх ёстой. Ажиллаж буй UDP профайлыг TCP 443 гэж бичих нь нөгөө талд хэн ч сонсохгүй бол юунд ч хүрэхгүй.

Хаалттай порт нь цензур биш, тохиргооны асуудал. Гэрийн чиглүүлэгчийн ард байгаа серверт UDP портын дамжуулалт хэрэгтэй бөгөөд чиглүүлэгчийн галт хана үүнийг зөвшөөрөх ёстой. Порт хэзээ ч зөвшөөрөгдөөгүй бол нэвтрэх мэдээллээс үл хамааран клиент бүр тохиролцоонд бүтэлгүйтдэг бөгөөд алдаа нь сүлжээг биш серверийг дагадаг.

Хуучин протоколууд энэ тэнхлэгт муу харьцуулагддаг. PPTP-д TCP 1723 дээр нэмээд GRE хэрэгтэй бөгөөд GRE нь порт биш IP протокол 47 тул энгийн портын дамжуулалт үүнийг илэрхийлж чадахгүй.

Пакетыг свитч хаяж байгаа үед

Удирдлагатай свитч туннелийг санаатайгаар хаяж болно. Зарим HPE ба Aruba загвар нь өргөтгөсөн аюулгүй байдлын хэсэгтээ UDP flood хамгаалалтын удирдлагыг санал болгодог, заримдаа Prevent UDP Blat Attack гэж тэмдэглэдэг. Тэр удирдлага идэвхтэй болмогц свитчийн ард байгаа сервер юунд ч хариулахгүй бөгөөд клиент бүр ижил аргаар хугацаа хэтэрнэ. Үүнийг арилгаж ажиллаж буй тохиргоог хадгалах нь бүх засвар боловч свитч үнэхээр замд байгааг тогтоосны дараа л.

Свитчийн хаялтыг үйлчилгээ үзүүлэгчийн блокоос ялгадаг зүйл бол эсрэг нотолгоо. ISP-тэй тасалбар нээхийн өмнө интерфэйсийн тоолуур болон flood хамгаалалтын логийг унш. DoS эсвэл flood хамгаалалттай хэрэглэгчийн чиглүүлэгчид мөн ижил хэлбэрээр бүтэлгүйтдэг, UDP идэвхгүй байдлын богино хугацаатай аливаа завсрын хэрэгсэл ч мөн адил. Хэзээ ч дуусахгүй гар барилт хаялтыг илтгэдэг бол хэдэн минутын чимээгүй байдлын дараа үхдэг туннель хугацааны хязгаарыг илтгэдэг.

Профайл солихоос өмнө клиент ба серверийн хоорондох бүх төхөөрөмжийг бичиж гарга. Буруу давхаргад хэрэглэсэн засвар дараагийн сүлжээ хүртэл зөв харагдана. Тэр жагсаалт нь дараагийн инженерт бүх шалгалтыг давтахгүйгээр хаана харахыг хэлнэ.

DNS алдаа мэт харагдах хаягийн давхцал

10.0.0.0/8 дотор дугаарлагдсан хандалтын сүлжээ туннелийн пултай давхцаж болох бөгөөд resolver нь ихэвчлэн тэр пулын дотор байдаг. Зөөврийн компьютер Wi-Fi дээр 10.184.178.50 гэх мэт хаягийг /8 масктай авах үед 10.x очих газар бүр тодорхойлолтоор локал байна. 10.4.0.1 руу чиглэсэн пакетууд дараа нь LAN руу явж, туннель ажиллаж, нэрний шийдэл бүтэлгүйтнэ.

ip addr давхцлыг нэг харцаар илрүүлдэг бол ip route get 10.4.0.1 пакет үнэхээр хаана хүргэгдэхийг харуулна. Харагдах шинж тэмдэг нь resolver-ийн алдаа тул энэ нь олон удаагийн DNS өөрчлөлтийг даван туулдаг.

Пүүлийг дахин дугаарла эсвэл тэр хандалтын сүлжээг хамрах хүрээнээс гадуур байлга. Клиентийн ямар ч тохиргоо давхцлаас сэргээхгүй.

TCP нөөц зам ба замын засварын хооронд сонгох

Замыг хянахгүй, хэрэглэгчид өнөөдөр ажиллах шаардлагатай бол TCP нөөц замыг сонгож, зардлыг нь хүлээн зөвшөөр: TCP доторх TCP алдагдалтай холбоос дээр муу ажилладаг бөгөөд нөөц замд өөрөө ажиллуулдаг listener хэрэгтэй. Блок өөрийн инфраструктур дээр байгаа бол замын засварыг сонго, учир нь галт хананы дүрэм хоёр дахь listener-ээс хямд. Аль ч тохиолдолд давхаргуудыг дарааллаар нь туул: холбоос, гадаад тээвэр, тохиролцоо, дотоод маршрутлалт. Тэр сүлжээнд бүтэлгүйтсэн үе шат л чухал баримт.

Үр дүнг хэрэглэгчээр биш сүлжээгээр бүртгэ. Ижил алдааны дараагийн мэдээ дараа нь гэрчилгээний онол биш, мэдэгдэж буй үе шатнаас эхэлнэ. Тэр бүртгэл нь хэзээ нэгэн цагт хэрэгтэй бол байнгын хоёр дахь listener-ийг зөвтгөдөг.