OpenVPN AF_INET-åtvaring: ufarleg tilbakefall eller mislukka socket?

To OpenVPN-logglinjer byrjar med dei same orda, og berre éi av dei rapporterer eit problem. Could not determine IPv4/IPv6 protocol. Using AF_INET er ei tilbakefallsmelding: profilen lét adressefamilien stå open, så daemonen valde éin og heldt fram. Feilgreina rapporterer at ingen socket vart oppretta og ber om omstart. Alt etter det felles prefikset skil dei, så les forbi det før du endrar noko.

Kva tilbakefallsmeldinga rapporterer

OpenVPN godtek ein eksplisitt familie via proto udp4 eller proto udp6, og godtek proto udp når familien skal utleiast ved oppstart. I det andre tilfellet undersøkjer daemonen den lokale bind-informasjonen og vel.

Når den utleiinga verkar, angir åtvaringa kva veg det gjekk, og prosessen held fram med å opprette socketen. Ein server med proto udp på ein dual-stack-vert hamnar ofte på IPv4 på denne måten. Ingenting på den vegen er ein feil, og ingenting i han tyder på eit åtak, ein manglande webserver eller ein avvist konto. Linja er berre nyttig fordi seinare kontrollar bør samanliknast med familien ho namngir.

Handter det som eit svar på eitt spørsmål, ikkje som ein diagnose. Ho seier kva familie denne prosessen valde, og ingenting om kvifor ein klient ikkje kan kopla til.

Korleis feilgreina ser ut

Seinare i den same socket-koden er det ei grein der det ikkje finst nokon socket i det heile. Ho loggar den kortare adressefamilie-meldinga og ber om omstart, fordi det ikkje er noko att å halde fram med. Opningsorda samsvarar med tilbakefallet; resultatet gjer det ikkje.

Skil dei etter det som følgjer. Viss daemonen held fram med å køyre og rapporterer lyttaren sin, var linja informasjon. Viss han avsluttar eller startar på nytt i ei løkke, handlar samtalen no om bind.

Eit grep-treff er heller ikkje ein identifikasjon av greina. Uttrykket dukkar opp i roterte samandrag, i ombrotne linjer og i loggutdrag folk limer inn frå andre hand, så les nabolinjene og rekkjefølgja på tidsstempla i staden for det einskilde treffet.

Sjekk lyttaren i staden for åtvaringa

Ein køyrande server svarar på familiespørsmålet direkte, utan slutningar frå loggteksten.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Match familie, adresse og port mot profilen. Ei 0.0.0.0:1194-linje er berre IPv4, medan ei [::]:1194-linje på ein dual-stack-vert kan godta begge familiar avhengig av bindv6only-innstillinga. Viss profilen seier udp og socketen er IPv4, vil klientar kva sin resolver berre returnerer ein AAAA-post mislykkast før tunnelen i det heile vert forhandla.

Test deretter frå ein klient som liknar brukarane dine: same resolverveg, same type nettverk. Ei lokal tilkopling frå serveren beviser svært lite om trafikk som kryssar ei NAT-eining eller ei brannmurregel skriven for den andre familien.

Når det er rett å tvinge ein familie

Å feste proto udp4 passar for ei utrulling med berre IPv4: eit DNS-namn med berre A, brannmurreglar for éi v4-adresse, klientar bak operatørar som berre deler ut v4-adresser. Det fjernar tvitydigheit og gjer det neste settet logglinjer føreseieleg.

Det same argumentet gjeld motsett veg for eit miljø med IPv6 først, og udp6 framfor ein klientbase med berre A er eit sjølvpåført avbrot. Å tvinge ein familie berre for å dempe ei ufarleg åtvaring er den klassiske versjonen av denne feilen, fordi du har endra kven som kan kopla til, i byte mot ein rolegare logg.

Vel ut frå endepunkta og klientane som må nå dei. OpenVPN 2.6-handboka dokumenterer transportformene, og meldinga er resultatet av det valet, ikkje eit input til det.

Hald registreringa smal

Skriv ned den nøyaktige linja med tidsstempelet, den effektive transportinnstillinga frå den køyrande profilen, socketen slik kjernen rapporterer han, og det neste trinnet som feila. Dei fire punkta avgjer nesten kvart spørsmål meldinga reiser, og ingen av dei krev gissing om urelaterte tenester. Dei overlever òg ei overlevering, noko eit skjermbilete av ein grep ikkje gjer.

Pakkeforslag som kjem saman med denne åtvaringa, er urelaterte til ein feil namngir ei manglande køyrbar fil.

Viss ifconfig verkeleg manglar, seier daemonen det ved namn når eit skript kallar det, og det fortener si eiga undersøking. AF_INET-linja og eit manglande verktøy er ulike feil, og å installere ting for å sjå om åtvaringa endrar seg, er måten ein rein vert vert rotete.