OpenVPN ਜੁੜਦਾ ਹੈ ਪਰ ਕੁਝ ਨਹੀਂ ਵਹਿੰਦਾ: ਪੈਕਟ ਕਿਸ ਪਰਤ ਵਿੱਚ ਡਿੱਗਦਾ ਹੈ ਲੱਭੋ

OpenVPN ਜੁੜਿਆ ਕਹਿੰਦਾ ਹੈ ਅਤੇ ਕੋਈ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਹਿੱਲਦਾ, ਇਹ ਵਾਕ ਘੱਟੋ-ਘੱਟ ਪੰਜ ਅਸੰਬੰਧਿਤ ਖਰਾਬੀਆਂ ਨੂੰ ਢੱਕਦਾ ਹੈ। ਕਿਹੜੀ ਪਰਤ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ ਇਹ ਜਾਣਨ ਤੋਂ ਪਹਿਲਾਂ ਫਾਇਰਵਾਲ ਨਿਯਮ ਸੋਧਣਾ ਅਣਜਾਣ ਨੂੰ ਗੁਣਾ ਕਰਦਾ ਹੈ ਅਤੇ ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਲਈ ਗੜਬੜ ਛੱਡ ਦਿੰਦਾ ਹੈ। ਇਸ ਦੀ ਬਜਾਇ ਪ੍ਰਕਿਰਿਆ ਤੋਂ ਬਾਹਰ ਵੱਲ ਕੰਮ ਕਰੋ, ਕਿਉਂਕਿ ਹੇਠਾਂ ਦਾ ਹਰ ਕਦਮ ਜਾਂ ਤਾਂ ਇੱਕ ਪੜਾਅ ਸਾਫ਼ ਕਰਦਾ ਹੈ ਜਾਂ ਇਹ ਸੰਖੇਪ ਕਰਦਾ ਹੈ ਕਿ ਪੈਕਟ ਕਿੱਥੇ ਮਰਦਾ ਹੈ। ਇੱਥੇ ਕ੍ਰਮ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਕਿਹੜਾ ਪਤਾ ਬੰਨ੍ਹਿਆ ਹੈ ਇਹ ਜਾਣਨ ਤੋਂ ਪਹਿਲਾਂ ਲਿਆ ਕੈਪਚਰ ਕੁਝ ਸਾਬਤ ਕਰੇਗਾ, ਪਰ ਉਹ ਨਹੀਂ ਜੋ ਤੁਹਾਨੂੰ ਚਾਹੀਦਾ ਹੈ।

ਸਾਕਟ ਜਾਂ ਤਾਂ ਬੰਨ੍ਹਿਆ ਹੈ ਜਾਂ ਨਹੀਂ

ਸਰਗਰਮ ਦੱਸਣ ਵਾਲੀ ਸੇਵਾ ਅਜੇ ਵੀ ਉਸ ਪਤੇ ਜਾਂ ਆਵਾਜਾਈ ਨਾਲ ਬੰਨ੍ਹੀ ਹੋ ਸਕਦੀ ਹੈ ਜੋ ਤੁਸੀਂ ਕਦੇ ਨਹੀਂ ਚਾਹਿਆ। ਸਾਕਟ ਨੂੰ ਹੀ ਪੁੱਛੋ: ss -lunp UDP ਸਰੋਤਿਆਂ ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ ਅਤੇ ss -ltnp TCP ਦੀ, ਅਤੇ ਪੜ੍ਹਨ ਯੋਗ ਕਾਲਮ ਸਥਾਨਕ ਪਤਾ ਹੈ, ਸਥਿਤੀ ਨਹੀਂ।

ਖਾਲੀ ਜਵਾਬ ਆਮ ਤੌਰ 'ਤੇ ਤਿੰਨ ਵਿੱਚੋਂ ਇੱਕ ਗੱਲ ਦਾ ਅਰਥ ਦਿੰਦਾ ਹੈ: ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਬਾਅਦ ਬਾਹਰ ਨਿਕਲ ਗਈ, ਇਸ ਨੇ ਦੂਜੀ ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਲੋਡ ਕੀਤੀ, ਜਾਂ ਇਹ ਉਸ ਪਤੇ ਤੋਂ ਵੱਖਰੇ ਪਤੇ 'ਤੇ ਸੁਣ ਰਹੀ ਹੈ ਜਿਸ 'ਤੇ ਡਾਇਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ss -lunp | grep 1194
ss -ltnp | grep 1194

local ਨਿਰਦੇਸ਼ ਸਰੋਤੇ ਨੂੰ ਇੱਕ ਪਤੇ 'ਤੇ ਪਿੰਨ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਉਸੇ ਹੋਸਟ 'ਤੇ ਕਿਤੇ ਹੋਰ ਨਿਸ਼ਾਨਾ ਕੀਤਾ ਕਲਾਇੰਟ ਇਨਕਾਰ ਹੋ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਕਿ ਸੇਵਾ ਬਾਹਰੋਂ ਅਜੇ ਵੀ ਸਿਹਤਮੰਦ ਦਿਸਦੀ ਹੈ। ਇੰਸਟੈਂਸ ਨਾਮ ਵੀ ਉਸ ਫਾਈਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਕਦੇ ਸੋਧਿਆ ਨਹੀਂ, ਜੋ ਦੋ ਪ੍ਰੋਫਾਈਲ ਲਾਗਲੇ ਚਲਾਉਣ ਵਾਲੇ ਹੋਸਟਾਂ 'ਤੇ ਹੁੰਦਾ ਹੈ।

ਬਾਹਰਲਾ ਪੈਕਟ ਕੈਪਚਰ ਕਰੋ, ਸੁਰੰਗ ਨਹੀਂ

ਭੌਤਿਕ ਇੰਟਰਫੇਸ ਅਤੇ ਅਸਲ ਪੋਰਟ 'ਤੇ ਫਿਲਟਰ ਕਰੋ, ਆਪਣਾ ਇੰਟਰਫੇਸ ਪਾ ਕੇ: tcpdump -ni eth0 udp port 1194। ਵਾਪਸ ਕੁਝ ਨਾ ਆਉਣ ਵਾਲੇ ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਪੈਕਟ ਉੱਪਰ ਬੈਠੀ ਚੀਜ਼ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ: ਪ੍ਰਦਾਤਾ ਫਿਲਟਰਿੰਗ, NAT ਯੰਤਰ, ਜਾਂ ਤੁਹਾਡੇ ਅੰਦਾਜ਼ੇ ਤੋਂ ਵੱਖਰਾ ਦੂਰਲਾ ਪਤਾ। ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਚੁੱਪ ਕਲਾਇੰਟ ਰਾਊਟਿੰਗ ਜਾਂ ਸਥਾਨਕ ਫਾਇਰਵਾਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ। ਸੁਰੰਗ ਦੀ ਤਰੱਕੀ ਤੋਂ ਬਿਨਾਂ ਆਉਣ ਵਾਲੇ ਜਵਾਬ ਨਿਯੰਤਰਣ ਚੈਨਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ, ਭਾਵ ਕੁੰਜੀ ਜਾਂ ਸਾਈਫਰ ਦਾ ਮੇਲ ਨਾ ਹੋਣਾ, ਫਿਲਟਰਿੰਗ ਵੱਲ ਨਹੀਂ।

ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਕੈਪਚਰ ਕਰੋ ਅਤੇ ਫਾਈਲ ਛੋਟੀ ਰੱਖੋ। ਲੰਮਾ ਕੈਪਚਰ ਦਿਲਚਸਪ ਤਿੰਨ ਸਕਿੰਟ ਦੱਬ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਜਵਾਬ ਲਗਭਗ ਹਮੇਸ਼ਾ ਪਹਿਲੇ ਅਦਾਨ-ਪ੍ਰਦਾਨ ਵਿੱਚ ਹੁੰਦਾ ਹੈ।

ਪਹਿਲਾਂ ਕਾਊਂਟਰ, ਟਰੇਸ ਸਿਰਫ਼ ਜਦੋਂ ਉਹ ਝੂਠ ਬੋਲਦੇ ਹਨ

ਕਾਊਂਟਰਾਂ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ, ਕਿਉਂਕਿ ਉਹ ਕੁਝ ਖਰਚ ਨਹੀਂ ਕਰਦੇ। ਜਾਂ nft list ruleset ਜਾਂ iptables -L -n -v ਇੱਥੇ ਮਹੱਤਵਪੂਰਨ ਇੱਕੋ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ: ਨਿਯਮ ਮੇਲ ਖਾਇਆ? ਕ੍ਰਮ ਨਤੀਜਾ ਤੈਅ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਪਹਿਲਾ ਮੇਲ ਜਿੱਤਦਾ ਹੈ, ਇਸ ਲਈ ਬਾਅਦ ਵਾਲੇ ACCEPT ਤੋਂ ਪਹਿਲਾਂ ਚੌੜਾ DROP ਉਸ ACCEPT ਨੂੰ ਮਰਿਆ ਛੱਡਦਾ ਹੈ ਅਤੇ ਇਸ ਲਈ ਨਿਯਮ ਜੋੜਨਾ ਓਨੀ ਘੱਟ ਵਾਰ ਕੁਝ ਸੁਧਾਰਦਾ ਹੈ।

ਮਾਲਕੀਅਤ ਵੀ ਲੋਕਾਂ ਨੂੰ ਠੋਕਰ ਮਾਰਦੀ ਹੈ। ਕਰਨਲ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਬਣੇ ਪੈਕਟ ਨੂੰ ਉਸ ਪ੍ਰਕਿਰਿਆ ਨਾਲ ਜੋੜਦਾ ਹੈ ਜਿਸ ਨੇ ਸਾਕਟ ਖੋਲ੍ਹਿਆ, ਅਤੇ OpenVPN ਆਮ ਤੌਰ 'ਤੇ root ਵਜੋਂ ਚੱਲਦਾ ਹੈ, ਇਸ ਲਈ ਆਮ ਵਰਤੋਂਕਾਰ ID ਨਾਲ ਬੰਨ੍ਹਿਆ ਨਿਯਮ ਸੁਰੰਗ ਦਾ ਆਪਣਾ ਟ੍ਰੈਫਿਕ ਕਦੇ ਨਹੀਂ ਦੇਖਦਾ। ਨਿਯਮ ਗਲਤ ਹੈ ਇਹ ਤੈਅ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਮਾਲਕ UID ਜਾਂਚੋ।

ਸਿਰਫ਼ ਜਦੋਂ ਕਾਊਂਟਰ ਅਸਪਸ਼ਟ ਰਹਿੰਦੇ ਹਨ ਤਦ ਹੀ ਲਾਗ ਸ਼ੋਰ ਦੇ ਯੋਗ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਤਦ ਵੀ ਸਿਰਫ਼ ਇੱਕ ਸੰਕਰੇ ਹਿੱਸੇ ਲਈ: ਦਰ ਸੀਮਤ ਕਰਨ ਵਾਲਾ ਅਤੇ ਆਪਣੀਆਂ ਲਾਗ ਲਾਈਨਾਂ ਨੂੰ ਅਗੇਤਰ ਦੇਣ ਵਾਲਾ iptables ਨਿਯਮ, ਜਾਂ meta nftrace set 1 ਲਿਜਾਣ ਵਾਲਾ nftables ਨਿਯਮ ਜਦੋਂ nft monitor trace ਚੱਲ ਰਿਹਾ ਹੋਵੇ। ਟਰੇਸ ਉਸ ਚੇਨ ਅਤੇ ਨਿਯਮ ਦਾ ਨਾਮ ਦਿੰਦਾ ਹੈ ਜਿਸ ਨੇ ਪੈਕਟ ਸਵੀਕਾਰ ਜਾਂ ਛੱਡਿਆ। ਬਾਅਦ ਵਿੱਚ ਦੋਵੇਂ ਹਟਾਓ ਅਤੇ ਪੇਲੋਡ ਲਾਗਿੰਗ ਬਾਹਰ ਰੱਖੋ।

ਆਵਾਜਾਈ ਵੀ ਜਾਂਚੋ। TCP ਤੱਕ ਸੀਮਿਤ ਫਾਇਰਵਾਲ ਸੇਵਾ ਉਸ ਨੰਬਰ 'ਤੇ UDP ਸਰੋਤੇ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ, ਇਸ ਲਈ ਸਹੀ ਪੜ੍ਹਿਆ ਨਿਯਮ ਵੀ ਹਰ ਪੈਕਟ ਛੱਡ ਸਕਦਾ ਹੈ।

ਰਾਊਟਿੰਗ ਅਤੇ ਵਾਪਸੀ ਦਾ ਰਾਹ

ਸਵੀਕਾਰਿਆ ਪੈਕਟ ਜੋ ਫਿਰ ਵੀ ਗਾਇਬ ਹੁੰਦਾ ਹੈ, ਉਸ ਦੇ ਟਿਕਾਣਾ ਮਾਰਗ ਦੀ ਜਾਂਚ ਲੋੜੀਂਦੀ ਹੈ। ip route get ਇੱਕ ਪਤੇ ਲਈ ਚੁਣਿਆ ਰੂਟ ਦੱਸਦਾ ਹੈ, ਅਤੇ ਉਲਟੇ ਮਾਰਗ ਦੀ ਫਿਲਟਰਿੰਗ ਮੁੱਖ ਸਾਰਣੀ ਕਦੇ ਨਾ ਚੁਣਨ ਵਾਲੇ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਆਉਣ ਵਾਲਾ ਜਵਾਬ ਛੱਡ ਸਕਦੀ ਹੈ। ਲੱਛਣ ਬਿਲਕੁਲ ਫਾਇਰਵਾਲ ਵੱਲੋਂ ਛੱਡੇ ਜਾਣ ਵਰਗਾ ਦਿਸਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਜਾਂਚ ਦੂਜੇ NAT ਨਿਯਮ ਤੋਂ ਪਹਿਲਾਂ ਆਉਂਦੀ ਹੈ।

ਗੇਟਵੇ 'ਤੇ input ਚੇਨ ਦੀ ਬਜਾਇ ਫਾਰਵਰਡਿੰਗ ਅਤੇ forward ਚੇਨ ਜਾਂਚੋ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਦੂਰਲਾ ਪਾਸਾ ਸਰੋਤ ਪਤੇ ਤੱਕ ਪਹੁੰਚਣਾ ਜਾਣਦਾ ਹੈ, ਕਿਉਂਕਿ ਕੰਮ ਕਰਦਾ ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਮਾਰਗ ਜਦੋਂ ਕੁਝ ਵਾਪਸ ਨਾ ਆਵੇ ਤਾਂ ਦੋਵੇਂ ਹਾਲਤਾਂ ਵਿੱਚ ਚੁੱਪ ਹੁੰਦਾ ਹੈ।

ਰਿਕਾਰਡ ਨੂੰ ਕੀ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ

ਹਰ ਬਦਲਾਅ ਲਈ, ਜਾਂਚਿਆ ਪੜਾਅ, ਪੜ੍ਹਿਆ ਸਬੂਤ ਅਤੇ ਉਸ ਦੇ ਦੋਵੇਂ ਪਾਸਿਆਂ ਦਾ ਕਾਊਂਟਰ ਮੁੱਲ ਲਿਖੋ। ਉਹੀ ਨੋਟ "ਹੁਣ ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ" ਨੂੰ ਅਗਲੀ ਸਮੀਖਿਆ ਵਿੱਚ ਟਿਕਾਊ ਬਣਾਉਂਦਾ ਹੈ।

ਦੋ ਸ਼ਾਰਟਕਟ ਨੋਟ ਨੂੰ ਇਮਾਨਦਾਰ ਰੱਖਦੇ ਹਨ। ਜੋ ਪੈਕਟ ਹੋਸਟ ਤੋਂ ਕਦੇ ਨਹੀਂ ਨਿਕਲਿਆ ਉਹ ਕਿਤੇ ਹੋਰ ਦੇ ਨਿਯਮ ਨਾਲ ਛੱਡਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਸੀ, ਦੂਰਲੇ ਪਾਸੇ ਦੀ ਕਨਫਿਗਰੇਸ਼ਨ ਭਾਵੇਂ ਕਿੰਨੀ ਵੀ ਭਰੋਸੇਯੋਗ ਦਿਸੇ। ਜੋ ਪੈਕਟ ਨਿਕਲ ਕੇ ਵਾਪਸ ਆਇਆ ਉਹ ਸਵਾਲ ਨੂੰ ਨੈੱਟਵਰਕ ਪਰਤ ਤੋਂ ਉੱਪਰ ਲੈ ਜਾਂਦਾ ਹੈ, ਜਿੱਥੇ ਫਾਇਰਵਾਲ ਕਾਊਂਟਰਾਂ ਕੋਲ ਹੁਣ ਤੁਹਾਨੂੰ ਦੱਸਣ ਲਈ ਕੁਝ ਨਹੀਂ ਬਚਿਆ।