OpenVPN funguje doma, ale nie v jednej sieti: UDP alebo TCP?

Ten istý profil sa pripojí z domu a zastaví sa v sieti hotela, kampusu alebo pobočky. Prihlasovacie údaje sa nezmenili, takže zaujímavou premennou je cesta: OpenVPN čo sa deje s paketmi predtým, než ich prečíta. Porovnať štyri možné príčiny v poradí, v akom sa dajú otestovať, je lepšie ako hádať o certifikátoch. Každá zanecháva inú stopu a práve stopa ich oddeľuje.

Ktorá fáza zlyhala, určuje, ktoré porovnanie je dôležité

Protokol klienta už zaznamenáva, ako ďaleko ste sa dostali. Riadok, že vyjednávanie kľúča TLS nenastalo v rámci časového limitu, znamená, že prvý paket odišiel a nič použiteľné sa nevrátilo, čo ukazuje na cestu. Odmietnutie certifikátu vyzerá úplne inak: prichádza odpoveď a potom konkrétna chyba overenia pomenuje dôvod. Poznamenajte si posledný riadok pred slučkou opakovaných pokusov, pretože to je hodnota, ktorú porovnávate medzi sieťami.

Zachytávajte počas opakovania, nie potom. Na klientovi tcpdump -ni any udp port 1194 ukazuje, či sa vôbec vracia nejaká odpoveď. Zopakujte to na WAN rozhraní servera, ktorý ovládate, čo odhalí, či sa tie pakety vôbec dostanú na vzdialený koniec.

Jednosmerná prevádzka je tu najužitočnejší dostupný výsledok, pretože mení občasnú sťažnosť na smer vyšetrovania. Uložte si súbory zachytenia, pretože ďalšie hlásenie toho istého problému sa uzatvára ľahšie dôkazmi než popisom.

Filtrovanie UDP verzus zatvorený port

Mnohé prístupové siete považujú pretrvávajúce UDP za podozrivé a niektorí ISP s nimi súhlasia. Zatvorený port vytvára rovnaké ticho zo strany klienta. Rozdiel je selektívnosť: filter býva vyberavý v tom, ktoré destinácie alebo porty zahodí, zatiaľ čo zatvorený port odmieta všetko smerované na ten port.

Profil TCP na porte 443 je zvyčajné riešenie, pretože pripomína bežný tok HTTPS a prechádza väčšinou captive portálov a výstupných filtrov. Musia platiť dve podmienky. Server musí počúvať s proto tcp-server a klient musí zodpovedať proto tcp-client, a operátor musí zverejniť ten alternatívny koncový bod. Prepísanie funkčného profilu UDP na tvrdenie TCP 443 nikam nevedie, keď na druhej strane nič nepočúva.

Zatvorený port je problém konfigurácie, nie cenzúry. Server za domácim routerom potrebuje presmerovanie UDP portu a firewall routera to musí povoliť. Keď port nikdy nebol povolený, každý klient zlyhá pri vyjednávaní bez ohľadu na prihlasovacie údaje a zlyhanie nasleduje server, nie sieť.

Staršie protokoly na tejto osi dopadajú zle. PPTP potrebuje TCP 1723 plus GRE a GRE je IP protokol 47, nie port, takže bežné presmerovanie portu to nevyjadruje.

Keď pakety zahadzuje prepínač

Spravovaný prepínač môže tunel zámerne zahodiť. Niektoré modely HPE a Aruba ponúkajú ovládanie ochrany proti UDP floodu, niekedy označené Prevent UDP Blat Attack, v sekcii pokročilej bezpečnosti. Keď je toto ovládanie aktívne, server za prepínačom neodpovedá na nič a každý klient vyprší rovnakým spôsobom. Vypnutie a uloženie bežiacej konfigurácie je celá oprava, ale až po tom, čo zistíte, že prepínač je skutočne na ceste.

Protiargumenty sú to, čo oddeľuje zahodenie na prepínači od blokovania poskytovateľom. Pred otvorením tiketu u ISP si prečítajte počítadlá rozhrania a log ochrany proti floodu. Spotrebiteľské routery s ochranou DoS alebo flood zlyhávajú v rovnakom tvare, rovnako ako každý prostredník s krátkym časovým limitom nečinnosti UDP. Podanie ruky, ktoré sa nikdy nedokončí, naznačuje zahodenie, zatiaľ čo tunel, ktorý zomrie po niekoľkých minútach ticha, naznačuje časový limit.

Pred zmenou profilu si zapíšte každé zariadenie medzi klientom a serverom. Oprava použitá na nesprávnej vrstve vyzerá správne až do ďalšej siete. Ten zoznam tiež povie ďalšiemu inžinierovi, kam sa pozrieť bez opakovania celého vyšetrovania.

Prekrytie adries, ktoré vyzerá ako zlyhanie DNS

Prístupová sieť číslovaná v 10.0.0.0/8 sa môže prekrývať s fondom tunela a resolver zvyčajne žije v tomto fonde. Keď laptop dostane adresu ako 10.184.178.50 s maskou /8 na Wi-Fi, každá destinácia 10.x je podľa definície lokálna. Pakety na 10.4.0.1 potom idú do LAN, tunel zostáva aktívny a preklad názvov zlyhá.

ip addr odhalí prekrytie na prvý pohľad a ip route get 10.4.0.1 ukáže, kam by paket naozaj bol doručený. Keďže viditeľným príznakom je zlyhanie resolvera, toto často prežije niekoľko kôl zmien DNS.

Prečíslujte fond alebo držte tú prístupovú sieť mimo rozsahu. Žiadne nastavenie na strane klienta nezotaví prekrytie.

Voľba medzi záložnou cestou TCP a opravou cesty

Zvoľte záložnú cestu TCP, keď cestu neovládate a používatelia musia dnes pracovať, a prijmite jej náklady: TCP v TCP sa správa zle na linkách so stratami a záložná cesta potrebuje listener, ktorý prevádzkujete. Zvoľte opravu cesty, keď blokovanie leží na infraštruktúre, ktorú vlastníte, pretože pravidlo firewallu je lacnejšie ako druhý listener. Tak či tak prejdite vrstvy v poradí: spojenie, vonkajší transport, vyjednávanie, vnútorné smerovanie. Fáza, ktorá v tej sieti zlyhala, je jediný dôležitý fakt.

Výsledok zaznamenávajte podľa siete, nie podľa používateľa. Ďalšie hlásenie toho istého zlyhania potom začína od známej fázy namiesto teórie o certifikátoch. Ten záznam je aj to, čo odôvodňuje trvalý druhý listener, ak bude niekedy potrebný.