Għaliex tweġiba UDP ta' OpenVPN toħroġ mill-indirizz żbaljat

Klijent ta' OpenVPN jċempel indirizz wieħed, is-server iwieġeb minn ieħor, u t-tunnel qatt ma jgħolli. Il-log tas-server juri l-pakkett jasl u qabda turi tweġiba toħroġ, għalhekk il-ħsara tiġi attribwita lill-klijent. Fuq host b'diversi interfaces, jew diversi indirizzi fuq interface waħda, iż-żewġ naħat sempliċement ma jaqblux dwar liema indirizz qed jintuża. It-tweġiba hija valida f'livell IP, madankollu ħafna klijenti jarmu datagram li l-oriġini tiegħu mhix l-indirizz li kkuntattjaw.

X'jara l-klijent meta tinbidel l-oriġini

Socket UDP li mhuwiex marbut ma' indirizz lokali speċifiku m'għandux oriġini fissa, għalhekk il-kernel jagħżel waħda fil-waqt tal-ibgħat. Dan l-għażla tiġi minn tfittxija ta' rotta lejn l-indirizz tal-klijent, u l-oriġini ssir l-indirizz tal-interface li tagħżel it-tfittxija. Fuq magna b'interface waħda l-għażla hija inviżibbli; fuq host b'indirizz ta' ġestjoni, indirizz pubbliku u indirizz sekondarju fuq l-istess karta tan-netwerk, tiddependi mill-metriċi u mill-politika tar-routing. Routing ibbażat fuq il-politika jagħmel id-diskrepanza aktar probabbli u mhux inqas, għax regola tista' tagħżel uplink li l-klijent qatt ma laħaq. Roqgħa default mgħallma minn fornitur wieħed flimkien ma' regola tal-oriġini li tipponta lejn ieħor huma biżżejjed biex jiġġenerawha.

Klijenti li jiffiltraw tweġibiet, u t-traċċar tal-konnessjonijiet li jistenna l-erbgħa eżatta u l-oriġini, se jarmu t-tweġiba mingħajr messaġġ utli. Imbagħad it-tunnel jiskadi bħallikieku ma wasal xejn, u għalhekk dan jinġabar ħażin bħala problema ta' firewall fuq in-naħa tal-klijent. Qabda meħuda biss fuq is-server tikkonferma l-iżball minflok ma tispjegah, għax it-tweġiba tassew toħroġ. Qabbel l-oriġini tat-tweġiba mal-indirizz li ċempel il-klijent qabel ma tibdel xi ħaġa oħra.

X'inhu li jagħmel id-daqshekk multihome fil-fatt

Id-direttiva tinkiteb bħala multihome f'fajl ta' konfigurazzjoni u bħala --multihome fuq il-linja tal-kmand, u tagħmel server UDP iwieġeb mill-indirizz li wasal għalih il-pakkett tal-klijent. Il-kernel jgħaddi l-indirizz tad-destinazzjoni oriġinali bħala data anċillari mar-riċeviment, u OpenVPN juża dak il-valur bħala l-oriġini tat-tweġiba. B'hekk server li jisma' fuq indirizz wildcard, local 0.0.0.0 għal IPv4 jew l-ekwivalenti IPv6 tiegħu, iġib ruħu bħallikieku kull klijent laħaq semmiegħ iddedikat. Klijenti li daħlu mill-indirizz pubbliku jirċievu tweġibiet mill-indirizz pubbliku, u klijenti fuq indirizz intern jirċevuhom minn dak. Xejn ieħor fil-passaġġ tal-pakkett ma jiċċaqlaq: ir-rotta, ir-regoli tal-filtru u l-konfigurazzjoni tat-tunnel jibqgħu eżatt kif kienu.

Proprju din l-aħħar proprjetà tagħmel id-daqshekk sigur biex jiżdied ma' server li jaħdem mod ieħor, u hija wkoll ir-raġuni għaliex ma jistax isewwi filtru li jippermetti biss indirizz wieħed. Il-pakkett xorta jrid jiġi aċċettat fil-passaġġ li jieħu, għalhekk il-korrezzjoni tal-oriġini tbiddel il-provenjenza tat-tweġiba u xejn aktar. Huwa wkoll biss għal UDP: semmiegħ TCP m'għandux din il-problema fl-istess forma, għax il-konnessjoni tiġi identifikata mill-erbgħa u mhux mill-indirizz tal-oriġini tat-tweġiba.

Meta indirizz lokali fiss huwa l-default ħażin

Qabel ma tmur għad-daqshekk, iċċekkja jekk is-server jorbotx indirizz lokali speċifiku wieħed, għax semmiegħ marbut dejjem iwieġeb minn dak l-indirizz. Dan huwa korrett għal implimentazzjoni b'interface waħda u ħażin hekk kif il-klijenti jużaw b'mod leġittimu aktar minn indirizz wieħed. Jekk l-irbit kien intenzjonat, iddeċiedi jekk is-server għandux jaċċetta traffiku fuq indirizzi addizzjonali. It-tneħħija tal-irbit iżżid l-espożizzjoni, għalhekk l-interfaces u n-netwerks tal-oriġini permessi jridu jiġu infurzati mis-servizz u mill-filtru, mhux biss mill-indirizz tal-irbit.

Ir-referenza tal-OpenVPN tillimita d-daqshekk għal servers UDP, tinnota l-ipproċessar addizzjonali fil-passaġġ tal-pakkett, u tirreġistra liema pjattaformi jappoġġawh. Ikkonferma dan fuq il-verżjoni installata qabel ma tippjana dwaru. Fejn mhuwiex appoġġat, l-alternattiva hija li torbot l-indirizz speċifiku jew tissewwi r-rotta tar-ritorn, u t-tnejn huma bidliet idjaq milli jidhru fl-ewwel daqqa t'għajn. Is-smigħ fuq wildcard għandu wkoll konsegwenzi lil hinn mit-tweġibiet: server fuq l-indirizzi kollha huwa aċċessibbli minn kull netwerk li l-host huwa mwaħħal miegħu, u dik forsi mhix l-espożizzjoni li kellu f'moħħu xi ħadd.

Ipprova l-oriġini tat-tweġiba minn barra

Ittestja minn barra s-server, u rreġistra l-indirizz u t-trasport eżatti li uża l-klijent qabel ma taqbad xejn. It-tliet verifiki hawn taħt iwieġbu tliet mistoqsijiet differenti, u l-ordni hija importanti.

tcpdump -ni any udp port 1194
ss -lunp 'sport = :1194'
ip route get 203.0.113.10 from 198.51.100.20

Il-qabda turi l-indirizz tal-oriġini fuq it-tweġiba, u dan huwa l-fatt li fuqu jistrieħ l-artiklu kollu. Il-lista tas-sockets turi x'inhu marbut tassew is-server, għax semmiegħ wildcard u semmiegħ speċifiku jidhru l-istess f'fajl ta' konfigurazzjoni u jġibu ruħhom b'mod differenti fuq in-netwerk. It-tfittxija tar-rotta turi l-oriġini li l-kernel jagħżel għal dak il-fluss, u dan jispjega l-qabda qabel ma tibdel xejn. Errepeti t-tlieta għal IPv4 u IPv6 separatament, għax huma semmiegħa separati u tfittxijiet separati, u entrata wildcard għal familja waħda ma tgħid xejn dwar l-oħra.

Routing, skoperta u filtraġġ jibqgħu separati

Il-preservazzjoni tal-oriġini tat-tweġiba ma tinstallax rotta ħierġa, ma taġġornax DNS dinamiku, u ma tagħmilx familja ta' indirizzi taċċetta lill-oħra. Fuq server b'diversi uplinks il-passaġġ tar-ritorn għal kull oriġini jrid jiġi miftiehem deliberatament, inkella t-tweġibiet joħorġu minn interface li l-filtru tal-klijent qatt ma ppermetta. Bl-istess mod, indirizz ġdid wara bidla fil-prefiss irid jilħaq il-klijenti permezz tal-iskoperta u l-fluss ta' qbil mill-ġdid appoġġat, mhux permezz tar-rekord antik.

Ħalli l-verifiki tal-identità tas-server u l-verifika taċ-ċertifikati eżatt kif inhuma, għax indirizz mibdul ma jiġġustifikax li jiġi aċċettat pari mhux verifikat. Jekk it-tweġiba issa toħroġ mill-oriġini maħsuba u t-tunnel xorta jonqos, ikkunsidra l-problema tal-oriġini bħala solvuta u kompli. L-iżball li jmiss osservat jappartjeni lir-routing, lill-filtraġġ jew lill-awtentikazzjoni, u bidla oħra fis-semmiegħ ma tilħaqx. Ikteb l-oriġini tat-tweġiba fil-biljett ħdejn l-indirizz li ċempel il-klijent, biex il-persuna li jmiss tkun tista' tivverifika l-istess fatt b'kmand wieħed.