Ali naj vaš klient OpenVPN uporablja nobind ali fiksna vrata?

Dva profila, ki se razlikujeta v eni vrstici, se obnašata drugače v trenutku, ko se na istem gostitelju zažene drugi odjemalec. Eden nosi nobind in vzame katera koli lokalna vrata, ki jih dodeli jedro; drugi rezervira 1194, in druga instanca umre z naslovom, ki je že v uporabi. Ta vrstica odloči, kdo izbere izvorna vrata, kar posledično odloči, ali lahko profil sobiva s čimer koli drugim na stroju. Tri vprašanja to razrešijo, in prvo odgovori za večino profilov, preden pridete do drugih dveh.

Kaj nobind v resnici preskoči

Privzeto odjemalec pred klicem veže lokalni vtičnico, in lokalna vrata so 1194, razen če profil pravi drugače. nobind odstrani to rezervacijo, zato sklad ob povezavi dodeli neuporabljena vrata. To je izjema, ne privzeto, in odjemalec brez vrstice drži 1194, zato se nepripeta druga instanca zaleti. Večina dobavljenih profilov odjemalca nosi direktivo prav zato, in to, da primerna datoteka nekaj počne, ni isto kot da mehanizem to počne privzeto.

Kar se ne spremeni, je oddaljena stran. Strežnik še vedno posluša tam, kjer profil pravi, da posluša, in ciljna vrata v konfiguraciji so še vedno ciljna vrata. Dinamična izvorna vrata spremenijo povratni naslov vaše vtičnice in ničesar pri strežnikovi.

Prav tako ničesar ne skrije. Vaš javni naslov je tisto, v kar ga pot prevede, paket še vedno prečka lokalno omrežje, in kdor to omrežje upravlja, še vedno vidi tok. nobind ni niti funkcija zasebnosti niti obhod požarnega zidu.

Trije pogoji, ki to odločijo

Eno vprašanje odloči drugi dve, zato nanj odgovorite, preden karkoli uredite. Če se partner priklaplja navzven, preostala vprašanja le natančneje določijo že sprejeto odločitev. Če sprejema dohodne povezave, nobena nastavitev lokalnih vrat ne naredi dosegljivega.

Ali ta partner začne povezavo? Če se priklaplja navzven, so dinamična izvorna vrata neškodljiva in običajno boljša, ker se odgovor vrne po istem toku. Če čaka na dohodne povezave, dinamična vrata naredijo povezavo nedosegljivo, razen če nekaj spredaj objavi vrata. Ta en odgovor loči vsak profil odjemalca od vsakega profila strežnika.

Ali pot filtrira po izvornih vratih? Strogo pravilo, napisano za ena znana vrata, zahteva izrecna lokalna vrata, in profil bi moral zabeležiti, kateremu pravilu ustreza. Večina omrežij filtrira samo po cilju, zato je ta pogoj redkejši od prvega. Kjer velja, prevlada nad naklonjenostjo dinamičnim vratom.

Ali si več instanc deli gostitelja? Ena fiksna vrata ne morejo služiti dvema od njih, in znova zagnana instanca lahko najde 1194 še v stanju zapiranja. Dinamična vrata odpravijo to nasprotje, ne da bi spremenila karkoli drugega. Če na to ne morete zanesljivo odgovoriti, predpostavite da in pustite jedru, da izbere.

Kjer so pripeta vrata pravi odgovor

Nekatera omrežja filtrirajo tako po izvornih vratih kot po cilju, zato je operater morda napisal pravilo, ki spusti samo promet z enih znanih vrat. Pripeti lokalna vrata je potem pravilno, in profil bi moral nositi komentar, ki poimenuje izpolnjeno pravilo. Pripeti zaradi simetrije s strežnikovimi vrati ni razlog, ker ti dve števili nimata nič skupnega. Če pripetje obstaja le zato, ker ga je imela predloga, ga izbrišite.

Sicer si pripeta vrata kupijo težave: dva odjemalca na enem stroju ne moreta oba držati 1194, in drugi odpove z napako, ki kaže na vrata, ne na profil. Vsebnik, ki se hitro znova zažene, zadene isto steno. Popravek je direktiva, ki so jo dobavljeni profili že vsebovali.

Strežnik in odjemalec nista simetrična

priročnik OpenVPN 2.6 postavi nobind ob bok lport, kar je argument v eni vrstici: ena možnost pravi, da izbere jedro, druga, da izberete vi. Dinamična lokalna vrata delujejo le za partnerja, ki kliče, ker odgovarjajoča stran ne more vnaprej poznati vrat. Zato kopiranje profila odjemalca na strežnik ustvari poslušalca, do katerega nihče ne more priti.

Na gostitelju z več omrežnimi vmesniki je naslov ločena odločitev od vrat. Vezava določenega lokalnega naslova in vezava določenih vrat sta dve različni nastavitvi, in strežnik z dvema navzgornjima povezavama običajno pripne oboje. Odjemalec, ki pripne oboje, je prevzel isto togost brez kakršne koli koristi.

Povzetek je o vlogah, ne o varnosti: kdor kliče, je lahko glede svojega vira prilagodljiv, in kdor odgovarja, ne more biti. Nobena izbira ne spremeni, kaj druga stran izve o vaši identiteti. Zato se direktiva pojavlja v primerih odjemalca in skoraj nikoli v primerih strežnika.

Preverite vrata, ki jih je izbralo jedro

Po povezavi berite vtičnico, ne konfiguracije, ker konfiguracija izraža namero, vtičnica pa, kaj se je zgodilo. Dejstva, ki so vredna zapisa, so lokalna vrata, oddaljena končna točka in ali še kaj posluša. Na gostitelju Linux so vsa tri en ukaz stran.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Odjemalec s nobind pokaže visoka lokalna vrata in konfigurirana oddaljena vrata, kar je pričakovana oblika. Strežnik pokaže vtičnico, ki posluša na njegovih konfiguriranih vratih, in če te vtičnice ni, profil ali ni poslušalec ali se ni uspel vezati. Ko tok obstaja, a paketi se ne vrnejo, primerjajte izbrana izvorna vrata s katerim koli filtrom vrat na poti, preden uredite profil. Spremenite eno stvar, znova se povežite in znova preberite vtičnico.