Il-port tal-VPN sieket? Xandiref, indirizz tal-irbit jew firewall tal-host

Il-VPN ma jwiġib xejn fuq il-port tiegħu, u ż-żewġ kawżi possibbli jeħtieġu tiswijiet opposti: jew l-ebda proċess ma fetaħ l-isocket, jew l-isocket jeżisti u xi ħaġa bejn il-magni qed twaqqaf il-pakketti. Kmand wieħed jiddeċiedi l-ewwel nofs ta' dik il-mistoqsija, għalhekk jiġi qabel ma tmiss xi regola tal-firewall. L-ordni hawn taħt tneħħi spjegazzjoni waħda kull pass minflok iżżid ipoteżi oħra. Huwa t-tħassir bejn it-tnejn li jbiddel dijanjożi ta' għaxar minuti f'lejla sħiħa.

Assumi li tista' tidħol fis-server u li l-klijent huwa profil veru u mhux skanner. Iż-żewġ suppożizzjonijiet importanti, għax sonda ġenerali ma tistax twieġeb mistoqsija speċifika għall-protokoll.

L-isocket jeżisti xejn

Ibda minn dak li s-servizz jgħid dwaru: jekk telaqx u, aktar utli, x'inhi l-ewwel żball tiegħu fil-bidu. Falliment ta' tħejjija, ċavetta nieqsa jew żball ta' rbit ma jħallux lix-xandiref jeżisti, u l-proċess jista' joħroġ daqshekk kwiet li l-linja tal-istat tinqara b'mod ambigwu. Unit li tirrapporta attiv mhix prova waħedha, għax il-proċess prinċipali jista' jkun ħaj waqt li l-komponent li kellu jorbot il-port diġà ċeda.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Il-lista tal-isockets hija l-fatt li fuqu jistrieħ il-bqija tad-dijanjosi. Aqra l-kolonna tal-indirizz lokali u mhux biss il-port, għax f'dik il-kolonna jidhru l-irbit tal-loopback u l-irbit fuq l-interface żbaljat. Xandiref li jeżisti fuq 127.0.0.1 jaħdem perfettament u xorta jibqa' inviżibbli għall-laptop tiegħek.

Fuq liema indirizz u familja l-isocket iwieġeb

Żewġ żbalji jidhru l-istess mill-klijent u jispjegaw ħafna mir-rapporti "mhux aċċessibbli". Server marbut mal-indirizz tal-loopback qatt ma jaċċetta traffiku minn magna oħra, u server marbut biss ma' indirizz IPv4 qatt ma jwieġeb klijent li jċempel l-indirizz IPv6 tal-istess host. Qabbel l-indirizz fit-tabella tal-isockets mal-indirizz li l-klijent fil-fatt qed iċempel, karattru b'karattru, qabel ma tassumi xejn dwar il-politika.

Li tillimita l-lista għal port wieħed iżżommha tinqara meta l-host imexxi diversi servizzi. Il-filtru sport jieħu l-port flimkien mat-trasport li qed tittestja:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Il-kolonna tal-protokoll tbiddel it-tweġiba kollha

It-tabella tal-isockets tindiċċa sew bil-protokoll kif ukoll bil-port, u dawn huma żewġ entrati indipendenti. Servizz li jwieġeb fuq TCP fil-1194 ma jgħid xejn dwar jekk xi ħaġa qed tisma' fuq UDP 1194, u l-klijent dejjem juża biss waħda minnhom. Ikkonferma liema trasport tagħżel il-konfigurazzjoni tas-server u liema jibgħat il-profil tal-klijent, imbagħad fittex eżatt dik il-linja.

L-UDP għandu tieni partikolarità: sonda mhux awtentikata mhix żball li s-servizz irid iwieġeb għalih. Skennjar li jirrapporta l-port bħala sieket kejjel il-kawtela tas-servizz, mhux id-disponibbiltà tiegħu, għalhekk ittestja bil-klijent u l-profil veri.

Tentattiv wieħed, tliet postijiet fejn tħares

Minn klijent approvat agħmel eżattament tentattiv wieħed u ikteb il-ħin sas-sekonda. Imbagħad aqra tliet sorsi għal dak iż-żmien: ir-regola tan-netwerk jew il-console tal-fornitur, il-kontaturi jew il-log tal-firewall tal-host, u l-log tas-servizz innifsu. Li tagħmel dan darba huwa dak li jagħmel it-tliet rendikonti paragunabbli, u jiswa inqas milli tirrepeti tentattiv li ħadd ma rreġistra l-marka tal-ħin tiegħu.

Iż-żewġ riżultati jindikaw direzzjonijiet opposti. Jekk l-ebda pakkett ma wasal għall-host, il-perkors qed jitfgħu u x-xandiref mhu relevanti. Jekk il-pakkett wasal għall-isocket u s-servizz irrifjutah, il-perkors huwa tajjeb u t-tweġiba tinsab fil-protokoll, fil-kriptografija jew fil-kredenzjali. Li tiftaħ port għal servizz li diġà aċċetta konnessjoni jagħmel id-dijanjosi li jmiss aktar diffiċli, mhux aktar faċli.

Semmi l-istadju qabel tibdel regola

Negozjati li jibdew u awtentikazzjoni li tfalli huma ħsara waħda, u tunnel li jistabbilixxi waqt li l-ippustjar jaqta' huwa ħsara totalment oħra. Li ssemmi l-istadju l-ewwel iżomm it-tiswija dejqa: problema tal-kredenzjali ma tissewwiex b'regola tal-firewall, u problema tal-perkors tad-data ma tissewwiex b'riavvjar.

Uża l-aktar dijanjożi dejqa li twieġeb il-mistoqsija. Osservazzjoni temporanja tal-pakketti fuq port wieħed, taħt il-kontroll ta' amministratur, hija strument raġonevoli; li tintefa kollha l-firewall mhix, għax ir-riżultat isir impossibbli li jiġi attribwit. Id-dokumentazzjoni ta' ss tkopri l-filtri użati hawn fuq, u dan huwa l-ewwel pass irħas minn kwalunkwe qabda. Innota liema miż-żewġ fergħat ippruvajt, u l-okkażjoni li jmiss tibda minn tweġiba magħrufa.