OpenVPN radi kod kuće ali ne na jednoj mreži: UDP ili TCP?

Isti profil se povezuje od kuće i zastaje na hotelskoj, kampusa ili filijalnoj mreži. Kredencijali se nisu promenili, pa je zanimljiva promenljiva put: šta se dešava sa paketima pre nego što ih OpenVPN pročita. Uporediti četiri moguća uzroka redom kojim mogu da se testiraju bolje je nego nagađati o sertifikatima. Svaki ostavlja drugačiji trag, a trag je ono što ih razdvaja.

Koja faza je pala govori koje poređenje je važno

Dnevnik klijenta već beleži dokle ste stigli. Red koji kaže da TLS razmena ključeva nije nastupila u roku znači da je prvi paket otišao i da ništa upotrebljivo nije vratilo se, što ukazuje na put. Odbijanje sertifikata izgleda sasvim drugačije: stiže odgovor, a zatim konkretna greška verifikacije imenuje razlog. Zabeležite poslednji red pre ciklusa ponovnog pokušaja, jer je to vrednost koju poredite između mreža.

Snimajte tokom ponovnog pokušaja, a ne posle. Na klijentu tcpdump -ni any udp port 1194 pokazuje da li se uopšte vraća ikakav odgovor. Ponovite to na WAN interfejsu servera koji kontrolišete, što otkriva da li ti paketi uopšte stižu do udaljenog kraja.

Jednosmerni saobraćaj je najkorisniji rezultat dostupan ovde, jer pretvara povremenu žalbu u pravac za istragu. Sačuvajte fajlove snimka, jer se sledeći izveštaj o istom problemu lakše zatvara dokazima nego opisom.

UDP filtriranje naspram zatvorenog porta

Mnoge pristupne mreže smatraju trajni UDP sumnjivim, a neki ISP se slažu. Zatvoren port proizvodi istu tišinu sa strane klijenta. Razlika je selektivnost: filter je obično izbirljiv oko toga koje destinacije ili portove odbacuje, dok zatvoren port odbija sve što je usmereno ka tom portu.

TCP profil na portu 443 je uobičajeno rešenje, jer liči na običan HTTPS tok i prolazi kroz većinu captive portala i izlaznih filtera. Moraju da važe dva uslova. Server mora da sluša sa proto tcp-server a klijent mora da se poklopi sa proto tcp-client, i operater mora da objavi tu alternativnu krajnju tačku. Prepisivanje radnog UDP profila da tvrdi TCP 443 ne vodi nikuda kada na drugoj strani ništa ne sluša.

Zatvoren port je problem konfiguracije, a ne cenzure. Server iza kućnog rutera treba prosleđivanje UDP porta, a firewall rutera mora to da dozvoli. Kada port nikada nije bio dozvoljen, svaki klijent pada na pregovorima bez obzira na kredencijale, a kvar prati server, a ne mrežu.

Stariji protokoli se loše drže na ovoj osi. PPTP zahteva TCP 1723 plus GRE, a GRE je IP protokol 47, a ne port, pa nikakvo obično prosleđivanje porta to ne izražava.

Kada svič ispušta pakete

Upravljani svič može namerno da ispusti tunel. Neki HPE i Aruba modeli izlažu kontrolu zaštite od UDP flooda, ponekad označenu Prevent UDP Blat Attack, u odeljku napredne bezbednosti. Kada je ta kontrola aktivna, server iza sviča ne odgovara ni na šta i svaki klijent ističe na isti način. Njeno brisanje i čuvanje tekuće konfiguracije je cela popravka, ali tek nakon što utvrdite da je svič zaista na putu.

Protivdokazi su ono što razdvaja ispuštanje na sviču od blokade provajdera. Pročitajte brojače interfejsa i dnevnik zaštite od flooda pre nego što otvorite tiket kod ISP-a. Potrošački ruteri sa DoS ili flood zaštitom padaju u istom obliku, kao i svaki posrednik sa kratkim UDP mirovanjem. Rukovanje koje se nikada ne završava ukazuje na ispuštanje, dok tunel koji umre posle nekoliko minuta tišine ukazuje na vremensko ograničenje.

Zapišite svaki uređaj između klijenta i servera pre nego što promenite profil. Popravka primenjena na pogrešnom sloju izgleda ispravno do sledeće mreže. Ta lista takođe govori sledećem inženjeru gde da gleda bez ponavljanja cele istrage.

Preklapanje adresa koje izgleda kao DNS kvar

Pristupna mreža numerisana unutar 10.0.0.0/8 može da se preklopi sa bazenom tunela, a resolver obično živi unutar tog bazena. Kada laptop dobije adresu poput 10.184.178.50 sa /8 maskom na Wi-Fi-ju, svaka destinacija 10.x je po definiciji lokalna. Paketi za 10.4.0.1 tada idu u LAN, tunel ostaje aktivan, a razrešavanje imena pada.

ip addr otkriva preklapanje na prvi pogled, a ip route get 10.4.0.1 pokazuje gde bi paket zaista bio dostavljen. Pošto je vidljiv simptom kvar resolvera, ovo često preživi nekoliko krugova DNS promena.

Prenumerišite bazen ili držite tu pristupnu mrežu van obuhvata. Nikakvo podešavanje na strani klijenta ne oporavlja od preklapanja.

Izbor između rezervnog TCP-a i popravke puta

Izaberite rezervni TCP kada ne kontrolišete put i korisnicima treba da rade danas, i prihvatite njegove troškove: TCP unutar TCP-a loše se ponaša na linkovima sa gubicima, a rezerva zahteva listener koji vi vodite. Izaberite popravku puta kada blokada leži na infrastrukturi koju posedujete, jer je firewall pravilo jeftinije od drugog listenera. Kako god, prođite kroz slojeve redom: link, spoljni transport, pregovori, unutrašnje rutiranje. Faza koja je pala na toj mreži je jedina važna činjenica.

Beležite rezultat po mreži, a ne po korisniku. Sledeći izveštaj o istom kvaru tada počinje od poznate faze umesto od teorije o sertifikatima. Taj zapis je i ono što opravdava stalni drugi listener, ako ikada bude potreban.