VPN порт чимээгүй байна уу? Сонсогч, холбох хаяг эсвэл хостны галт хана

VPN өөрийн порт дээр юу ч хариулахгүй байна, хоёр боломжит шалтгаан нь эсрэг засвар шаарддаг: нэг бол ямар ч процесс сокетыг нээгээгүй, эсвэл сокет байгаа бөгөөд машинуудын хооронд ямар нэг зүйл пакетуудыг зогсоож байна. Нэг команд энэ асуултын эхний хагасыг шийддэг, тиймээс ямар ч галт ханын дүрэмд хүрэхээс өмнө ордог. Доорх дараалал алхам бүрт нэг тайлбарыг арилгадаг, өөр таамаг нэмдэггүй. Энэ хоёрын хооронд таамаглах нь арван минутын оношилгоог бүтэн орой болгодог.

Серверт нэвтэрч чадна, клиент нь сканер биш жинхэнэ профайл гэж үзээрэй. Хоёр таамаг хоёулаа чухал, учир нь ерөнхий зонд протоколд хамаарах асуултад хариулж чадахгүй.

Сокет огт байгаа юу

Үйлчилгээ өөрийнхөө тухай юу гэж хэлж байгаагаас эхэл: эхэлсэн эсэх, илүү ашигтай нь, түүний анхны эхлэх алдаа юу байсан. Задлан боловсруулалтын алдаа, алга болсон түлхүүр эсвэл холболтын алдаа нь сонсогч үүсэхэд саад болдог, процесс маш чимээгүй гарч болох тул төлөвийн мөр нь хоёрдмол утгатай уншигдана. Өөрийгөө идэвхтэй гэж мэдээлж буй нэгж дангаараа нотолгоо биш, учир нь үндсэн процесс амьд байж болохын зэрэгцээ портыг холбох ёстой байсан бүрэлдэхүүн аль хэдийн бууж өгсөн байж болно.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Сокетын жагсаалт нь бусад оношилгооны тулгуурладаг баримт юм. Зөвхөн порт биш, локал хаягийн баганыг унш, учир нь яг тэр баганад loopback холболт ба буруу интерфэйсийн холболт харагдана. 127.0.0.1 дээр байгаа сонсогч төгс ажиллаж байгаа бөгөөд таны зөөврийн компьютерт үл үзэгдэх хэвээр байна.

Сокет ямар хаяг, ямар гэр бүл дээр хариулдаг вэ

Хоёр алдаа клиентийн талаас ижил харагдаж, ихэнх "хүрэхгүй" мэдээллийг тайлбарладаг. loopback хаягт холбогдсон сервер өөр машинаас трафик хүлээж авдаггүй, зөвхөн IPv4 хаягт холбогдсон сервер нь мөн хостийн IPv6 хаягийг залгаж буй клиентэд хэзээ ч хариулдаггүй. Бодлогын талаар ямар нэг зүйл таамаглахаас өмнө сокетын хүснэгт дэх хаягийг клиент бодитоор залгаж буй хаягтай үсэг үсгээр харьцуул.

Жагсаалтыг нэг портод хязгаарлах нь хост хэд хэдэн үйлчилгээ ажиллуулж байхад уншигдахуйц байлгана. sport шүүлтүүр портыг таны шалгаж буй тээвэртэй хамт авна:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Протоколын багана бүх хариултыг өөрчилнө

Сокетын хүснэгт портоос гадна протоколоор индексжигддэг бөгөөд эдгээр нь хоёр бие даасан бичлэг. 1194 дээр TCP-д хариулж буй үйлчилгээ нь UDP 1194 дээр ямар нэгэн зүйл сонсож байгаа эсэхийг хэлэхгүй, клиент үргэлж зөвхөн нэгийг нь ашиглана. Серверийн тохиргоо аль тээврийг сонгож, клиентийн профайл алийг нь илгээдэг болохыг баталгаажуулаад, дараа нь яг тэр мөрийг хай.

UDP хоёр дахь нугалаатай: баталгаажаагүй зонд бол үйлчилгээ хариулах үүрэгтэй алдаа биш. Портыг чимээгүй гэж мэдээлсэн скан нь үйлчилгээний боломжит байдлыг биш, түүний дөхөм байдлыг хэмжсэн, тиймээс жинхэнэ клиент, профайлаар шалга.

Нэг оролдлого, харах гурван газар

Зөвшөөрөгдсөн клиентээс яг нэг оролдлого хийж, цагийг секунд хүртэл бичиж ав. Дараа нь тэр цонхонд гурван эх сурвалжийг унш: үйлчилгээ үзүүлэгчийн сүлжээний дүрэм эсвэл консол, хостны галт ханын тоолуур эсвэл лог, үйлчилгээний өөрийнх нь лог. Нэг удаа хийх нь гурван гэрчлэлийг харьцуулахуйц болгодог бөгөөд хэн ч цагийн тэмдэглэгээ бичээгүй оролдлогыг давтахаас хямд тусна.

Хоёр үр дүн эсрэг чиглэлд заана. Хэрэв нэг ч пакет хостод хүрээгүй бол зам түүнийг хаяж байгаа бөгөөд сонсогч хамаагүй. Хэрэв пакет сокетод хүрч, үйлчилгээ түүнийг татгалзсан бол зам хэвийн бөгөөд хариулт нь протокол, криптограф эсвэл итгэмжлэлд байна. Холболтыг аль хэдийн хүлээн авсан үйлчилгээнд порт нээх нь дараагийн оношилгоог хөнгөвчлөхгүй, хүндрүүлнэ.

Дүрмийг өөрчлөхөөс өмнө үе шатыг нэрлэ

Эхэлж буй хэлэлцээр ба бүтэлгүйтэж буй баталгаажуулалт нэг гэмтэл, харин дамжуулалт гацсан үед үүсэх туннель огт өөр гэмтэл. Үе шатыг урьдчилан нэрлэх нь засварыг нарийн байлгана: итгэмжлэлийн асуудлыг галт ханын дүрмээр шийдэхгүй, өгөгдлийн замын асуудлыг дахин ачааллахаар шийдэхгүй.

Асуултад хариулах хамгийн нарийн оношилгоог ашигла. Нэг порт дээр администраторын хяналтад түр хугацааны пакет ажиглалт нь боломжийн хэрэгсэл; бүх галт ханыг унтраах нь тийм биш, учир нь үр дүнг ямар нэгэн зүйлд хамааруулах боломжгүй болно. ss-ийн баримт бичиг дээр ашигласан шүүлтүүрүүдийг хамардаг бөгөөд энэ нь ямар ч барилтаас хямд эхний алхам. Хоёр салбарын алийг нь нотолсноо бичиж ав, дараагийн тохиолдол мэдэгдэж буй хариултаас эхэлнэ.