OpenVPN jaħdem id-dar imma mhux f'netwerk wieħed: UDP jew TCP?

L-istess profil jikkonnettja mid-dar u jieqaf fuq netwerk ta' lukanda, kampus jew fergħa. Il-kredenzjali ma nbidlux, allura l-varjabbli interessanti hija t-triq: x'jiġri mill-pakketti qabel ma OpenVPN jaqrahom. Li tqabbel erba' kawżi kandidati fl-ordni li biha jistgħu jiġu ttestjati jaqbeż milli taqta' bl-addoċċ dwar iċ-ċertifikati. Kull waħda tħalli traċċa differenti, u t-traċċa hija dik li tifridhom.

Liema stadju falla jgħidlek liema tqabbil huwa importanti

Il-log tal-klijent diġà jirrekordja kemm wasalt. Linja li tgħid li n-negozjazzjoni tal-muftieħ TLS ma seħħitx fil-limitu ta' żmien tfisser li l-ewwel pakkett ħareġ u ma rġax lura xejn utli, li jindika t-triq. Ċaħda taċ-ċertifikat tidher kompletament differenti: tasal tweġiba, imbagħad żball speċifiku ta' verifika jismi r-raġuni. Innota l-aħħar linja qabel iċ-ċiklu ta' rtentat mill-ġdid, għax dak huwa l-valur li tqabbel bejn netwerks.

Aqbad waqt li tkun qed terġa' tipprova, mhux wara. Fuq il-klijent, tcpdump -ni any udp port 1194 turi jekk tiġi lura xi tweġiba xejn. Erġa' għamilha fuq l-interface WAN ta' server li tikkontrolla, li tikxef jekk dawk il-pakketti jilħqu xejn it-tarf imbiegħed.

Traffiku f'daqqa waħda huwa l-aktar riżultat utli disponibbli hawn, għax ibiddel ilment intermittenti f'direzzjoni ta' investigazzjoni. Żomm il-fajls tal-qbid, għax ir-rapport li jmiss tal-istess problema jingħalaq aktar faċilment b'evidenza milli b'deskrizzjoni.

Filtrazzjoni UDP kontra port magħluq

Ħafna netwerks ta' aċċess iqisu UDP sostenut bħala suspettat, u xi ISP jaqblu magħhom. Port magħluq jipproduċi l-istess silenzju min-naħa tal-klijent. Id-differenza hija s-selettività: filtru għandu tendenza li jkun għażżien dwar liema destinazzjonijiet jew ports iqiegħed, filwaqt li port magħluq jirrifjuta kollox indirizzat lejn dak il-port.

Profil TCP fuq il-port 443 huwa s-soluzzjoni tas-soltu, għax jixbah fluss HTTPS ordinarju u jgħaddi minn ħafna portals captive u filtri tal-ħruġ. Żewġ kundizzjonijiet iridu jżommu. Is-server irid jisma' b' proto tcp-server u l-klijent irid jaqbel ma' proto tcp-client, u l-operatur irid jippubblika dak l-endpoint alternattiv. Li terġa' tikteb profil UDP li jaħdem biex tiddikjara TCP 443 ma twassal imkien meta m'hemm xejn jisma' fit-tarf l-ieħor.

Port magħluq huwa problema ta' konfigurazzjoni, mhux problema ta' ċensura. Server wara router tad-dar jeħtieġ li l-port UDP tiegħu jiġi mgħoddi 'l quddiem, u l-firewall tar-router irid jippermettih. Meta l-port qatt ma ġie permess, kull klijent jonqos fin-negozjazzjoni irrispettivament mill-kredenzjali, u l-falliment isegwi s-server u mhux in-netwerk.

Protokolli eqdem iqabblu ħażin fuq dan l-assi. PPTP jeħtieġ TCP 1723 flimkien ma' GRE, u GRE huwa protokoll IP 47 mhux port, allura ebda port forward ordinarju ma jesprimieh.

Meta s-switch huwa dak li jqiegħed il-pakketti

Switch ġestit jista' jqiegħed it-tunnel apposta. Xi mudelli HPE u Aruba jesponu kontroll ta' protezzjoni mill-flood UDP, kultant immarkat Prevent UDP Blat Attack, fit-taqsima tas-sigurtà avvanzata tagħhom. Ladarba dak il-kontroll ikun attiv, server wara s-switch ma jwieġeb xejn u kull klijent jispiċċa fi żmien wieħed bl-istess mod. It-tneħħija tiegħu u s-salvataġġ tal-konfigurazzjoni li qed taħdem hija t-tiswija kollha, imma biss wara li tistabbilixxi li s-switch tassew qiegħed fit-triq.

Evidenza kuntrarja hija dik li tifred il-qiegħda tas-switch mill-blokk tal-fornitur. Aqra l-counters tal-interface u l-log tal-protezzjoni mill-flood qabel tiftaħ ticket mal-ISP. Routers tal-konsumatur b'protezzjoni DoS jew flood jonqsu fl-istess forma, u hekk ukoll kull middlebox b'limitu ta' żmien idle UDP qasir. Handshake li qatt ma jitlesta jissuġġerixxi qiegħda, filwaqt li tunnel li jmut wara ftit minuti ta' silenzju jissuġġerixxi l-limitu ta' żmien.

Ikteb kull apparat bejn il-klijent u s-server qabel tibdel profil. Tiswija applikata fuq saff żbaljat tidher korretta sal-netwerk li jmiss. Dik il-lista tgħid ukoll lill-inġinier li jmiss fejn għandu jħares mingħajr ma jirrepeti l-investigazzjoni kollha.

Sovrappożizzjoni tal-indirizzi li tidher bħal falliment DNS

Netwerk ta' aċċess numerat ġewwa 10.0.0.0/8 jista' jissovrapponi mal-pool tat-tunnel, u r-resolver normalment jgħix ġewwa dak il-pool. Meta laptop jirċievi indirizz bħal 10.184.178.50 b'maskra /8 fuq Wi-Fi, kull destinazzjoni 10.x hija lokali b'definizzjoni. Pakketti għal 10.4.0.1 imbagħad imorru lejn il-LAN, it-tunnel jibqa' għaddej, u r-riżoluzzjoni tal-ismijiet tonqos.

ip addr tikxef is-sovrappożizzjoni b'daqqa t'għajn, u ip route get 10.4.0.1 turi fejn il-pakkett tassew jitwassal. Għax is-sintomu viżibbli huwa falliment tar-resolver, dan spiss jibqa' ħaj wara bosta rawnds ta' bidliet fid-DNS.

Erġa' nnumeraw il-pool jew żomm dak in-netwerk ta' aċċess barra mill-ambitu. L-ebda setting tal-klijent ma jirkupra minn sovrappożizzjoni.

Id-deċiżjoni bejn fallback TCP u tiswija tat-triq

Agħżel il-fallback TCP meta ma tikkontrollax it-triq u l-utenti għandhom bżonn jaħdmu llum, u aċċetta l-ispejjeż tiegħu: TCP ġewwa TCP iġib ruħu ħażin fuq links li jitilfu, u l-fallback jeħtieġ listener li tħaddem int. Agħżel it-tiswija tat-triq meta l-blokk ikun fuq infrastruttura tiegħek, għax regola tal-firewall hija orħos minn tieni listener. Xorta waħda, għaddi mis-saffi fl-ordni: link, trasport ta' barra, negozjazzjoni, routing intern. L-istadju li falla fuq dak in-netwerk huwa l-uniku fatt li jgħodd.

Irreġistra r-riżultat skont in-netwerk u mhux skont l-utent. Ir-rapport li jmiss tal-istess falliment imbagħad jibda minn stadju magħruf minflok minn teorija taċ-ċertifikati. Dak ir-rekord huwa wkoll dak li jiġġustifika tieni listener permanenti, jekk qatt ikun meħtieġ.