Port VPN mlčí? Naslúchač, adresa pre bindovanie alebo firewall hostiteľa

VPN na svojom porte nič neodpovedá a dve možné príčiny vyžadujú opačné opravy: buď socket neotvoril žiadny proces, alebo socket existuje a niečo medzi strojmi zastavuje pakety. Jediný príkaz rozhodne prvú polovicu tejto otázky, preto patrí pred akékoľvek pravidlo firewallu. Poradie nižšie odstraňuje v každom kroku jedno vysvetlenie namiesto pridávania ďalšej domnienky. Práve hádanie medzi týmito dvoma mení desaťminútovú diagnostiku na celý večer.

Predpokladajte, že sa na server prihlásite a že klient je skutočný profil, nie skener. Oba predpoklady sú dôležité, pretože všeobecná sonda nedokáže odpovedať na otázku špecifickú pre protokol.

Existuje socket vôbec

Začnite tým, čo služba hovorí o sebe: či naštartovala a, užitočnejšie, aká bola jej prvá chyba pri štarte. Zlyhanie parsovania, chýbajúci kľúč alebo chyba bindovania zabránia tomu, aby naslúchač vôbec vznikol, a proces môže skončiť tak ticho, že sa stavový riadok číta nejednoznačne. Unit, ktorý hlási active, nie je sám o sebe dôkaz, pretože hlavný proces môže byť živý, zatiaľ čo komponent, ktorý mal port bindovať, už to vzdal.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Výpis socketov je fakt, na ktorom stojí zvyšok diagnostiky. Čítajte stĺpec miestnej adresy, nie len port, pretože práve v tomto stĺpci sa objavujú bindy na loopback a bindy na nesprávne rozhranie. Naslúchač, ktorý existuje na 127.0.0.1, beží bezchybne a napriek tomu je pre váš notebook neviditeľný.

Na akej adrese a v akej rodine socket odpovedá

Dve chyby vyzerajú z pohľadu klienta rovnako a vysvetľujú väčšinu hlásení "nedostupné". Server bindovaný na loopback adresu nikdy neprijme prevádzku z iného stroja a server bindovaný iba na adresu IPv4 nikdy neodpovie klientovi, ktorý vytáča adresu IPv6 toho istého hostiteľa. Porovnajte adresu v tabuľke socketov s adresou, ktorú klient skutočne vytáča, znak po znaku, skôr než čokoľvek predpokladáte o politike.

Obmedzenie výpisu na jeden port udrží čitateľnosť, keď hostiteľ prevádzkuje niekoľko služieb. Filter sport berie port spolu s transportom, ktorý testujete:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Stĺpec protokolu mení celú odpoveď

Tabuľka socketov sa indexuje podľa protokolu aj portu a sú to dva nezávislé záznamy. Služba odpovedajúca na TCP na 1194 vám nič nepovie o tom, či niečo naslúcha na UDP 1194, a klient vždy použije len jeden z nich. Overte, ktorý transport volí konfigurácia servera a ktorý posiela profil klienta, a potom hľadajte presne ten riadok.

UDP má druhý záhyb: neautentizovaná sonda nie je chyba, na ktorú služba musí odpovedať. Sken, ktorý hlási port ako tichý, zmeral diskrétnosť služby, nie jej dostupnosť, preto testujte skutočným klientom a profilom.

Jeden pokus, tri miesta, kam sa pozrieť

Z povoleného klienta urobte presne jeden pokus a zapíšte čas na sekundu. Potom pre to okno prečítajte tri zdroje: sieťové pravidlo alebo konzolu poskytovateľa, počítadlá alebo log firewallu hostiteľa a vlastný log služby. Jednorazové vykonanie robí tri výpovede porovnateľnými a stojí menej než opakovanie pokusu, ktorého čas nikto nezaznamenal.

Dva výsledky ukazujú opačnými smermi. Ak na hostiteľa nedorazil žiadny paket, cesta ho zahadzuje a naslúchač je irelevantný. Ak paket dorazil na socket a služba ho odmietla, cesta je v poriadku a odpoveď leží v protokole, kryptografii alebo prihlasovacích údajoch. Otvorenie portu pre službu, ktorá už spojenie prijala, robí ďalšiu diagnostiku ťažšou, nie ľahšou.

Pomenujte fázu, skôr než zmeníte pravidlo

Rokovanie, ktoré sa začne, a autentifikácia, ktorá zlyhá, je jedna porucha, a tunel, ktorý sa nadviaže, kým preposielanie stojí, je úplne iná. Pomenovanie fázy najprv udrží opravu úzku: problém s prihlasovacími údajmi nevyrieši pravidlo firewallu a problém s dátovou cestou nevyrieši reštart.

Použite najužšiu diagnostiku, ktorá odpovedá na otázku. Dočasné pozorovanie paketov na jednom porte pod kontrolou administrátora je rozumný nástroj; vypnutie celého firewallu nie, pretože výsledok už nemožno nikomu pripísať. Dokumentácia ss pokrýva filtre použité vyššie a je lacnejším prvým krokom než akýkoľvek odchyt. Zapíšte, ktorú z dvoch vetiev ste dokázali, a ďalší výskyt začne od známej odpovede.