OpenVPN fuq il-port 53: tliet konversazzjonijiet li n-nies iħawdu
Is-sejba tal-endpoint, it-trasport encryptat u d-DNS wara t-tunnel huma tliet konversazzjonijiet. Identifika liema stadju falla qabel ma tbiddel port jew resolver.
Ir-rapporti li jgħidu li l-VPN huma mblukkati fuq il-port 53 iħalltu tliet osservazzjonijiet li jfallu għal raġunijiet differenti. Is-sejba tal-isem tal-endpoint issir qabel ma jeżisti xi tunnel, it-trasport encryptat huwa konversazzjoni separate, u t-talbiet DNS li jsiru wara huma t-tielet waħda. Kull waħda għandha l-firma tal-falliment tagħha, u waħda biss minnhom hija dwar id-DNS.
Qabel ma tbiddel xi ħaġa, ikklassifika l-pakketti skont l-iskop, għax is-soluzzjoni ssegwi l-istadju.
Tliet konversazzjonijiet, numru tal-port wieħed
L-ewwel konversazzjoni hija tfittxija tal-isem għall-endpoint: il-magna tiegħek tistaqsi lir-resolver konfigurat fejn jinsab vpn.example.com, u dik it-tweġiba tasal permezz tad-DNS ordinarju qabel ma l-klijent jibgħat pakkett wieħed tat-tunnel. It-tieni hija t-trasport OpenVPN stess, li jikkonnettja mal-indirizz li tat it-tfittxija fuq il-protokoll u l-port li jsemmi l-profil. It-tielet tiġri wara li jitla' t-tunnel, meta l-applikazzjonijiet jitolbu ismijiet u l-konfigurazzjonijiet tar-resolver imbuttati jiddeċiedu min iwieġeb.
Dawn it-tlieta jistgħu jirnexxu jew jfallu b'mod indipendenti. Klijent jista' jsolvi l-endpoint tiegħu perfettament u xorta jfalli jasal għall-listener, u jista' jistabbilixxi tunnel waqt li kull tfittxija tal-isem interna tfalli għax il-konfigurazzjonijiet tad-DNS qatt ma waslu.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Aqra t-tabella bħala lista ta' verifika u mhux bħala deskrizzjoni. Jekk l-isem tal-endpoint ma jiġix solvut, xejn wara ma jista' jiffunzjona, u t-tunnel qatt ma jibda.
In-numru tal-port ma jsemmix l-applikazzjoni
Il-port 53 iġorr id-DNS b'konvenzjoni, u operatur OpenVPN jista' wkoll jippubblika listener hemm, u għalhekk dan in-numru huwa identifikatur fqir. Sessjoni OpenVPN fuq UDP 53 għadha sessjoni OpenVPN, u talba DNS lil server fuq il-port 53 ma tgħid xejn dwar jekk tunnel huwiex permess. Il-linji proto u remote tal-profil jiddefinixxu l-endpoint ta' barra; in-numru tal-port ma jiddefinixxi xejn waħdu.
Dan jaqta' miż-żewġ naħat fid-dijanjosi: prova UDP ġenerika lejn il-port 53 turi li port iwieġeb, mhux li s-servizz VPN iwieġeb. Ipprova bil-klijent reali u bil-profil reali, għax dan biss jeżerċita l-handshake li s-servizz jistenna.
Uri l-listener qabel ma tagħti l-ħtija lin-netwerk
Fuq is-server, ivverifika x'inhu marbut b'ss -lunp | grep 53 u qabblu mal-protokoll u l-port tal-profil. Min-netwerk tal-klijent, ħaddem il-klijent b'aktar dettall sabiex il-log juri liema indirizz u trasport ipprova. Jekk is-server qed jisma' u l-pakketti tal-klijent ma jaslux, il-passaġġ jew il-politika qed jirrifjutawhom, u dik hija konversazzjoni mas-sid tan-netwerk u mhux raġuni biex tbiddel il-port.
Port differenti jgħin biss meta s-servizz tassew qed jisma' hemm u l-iskjerament jippermettih. Li tċaqlaq listener biex tevita l-iffiltrar ta' netwerk ġestit hija deċiżjoni ta' politika, mhux pass fit-troubleshooting. Staqsi lis-sid tan-netwerk x'inhu permess qabel ma tbiddel is-servizz, għax ix-xelta li tikser il-politika fl-aħħar tingħalaq xorta waħda. Ikteb dik it-tweġiba ħdejn il-profil biex il-persuna li jmiss ma terġax titlob.
Iċċekkja d-DNS wara t-tunnel, separatament
Ladarba t-tunnel jitla', eżamina l-istat tar-resolver fuq l-interface VPN u staqsi isem intern wieħed u isem pubbliku wieħed. Jekk l-ismijiet interni jfallu waqt li t-tunnel iġorr it-traffiku, il-konfigurazzjonijiet DNS imbuttati ma ġewx applikati, li hija kwistjoni ta' integrazzjoni tal-klijent u mhux ta' trasport. Jekk l-ismijiet pubbliċi jfallu u dawk interni jaħdmu, il-politika tat-tunnel maqsum qed tagħmel dak li ġiet konfigurata tagħmel.
Ħalli l-bidliet fid-DNS għand is-sid tar-resolver. Li tikteb fuq konfigurazzjoni tar-resolver ġestita biex jgħaddi test wieħed tista' tkisser ismijiet privati għal kull ħaġa oħra fuq il-magna. Jekk it-tunnel jimbotta resolver u l-klijent jinjorah, sewwi l-integrazzjoni tal-klijent minflok ma żżid entrata statika x'imkien ieħor. L-entrati statiċi jaħbu l-falliment sakemm xi ħadd ibiddel in-netwerk. Ikteb liema resolver huwa mistenni jwieġeb kull namespace.