OpenVPN na vratih 53: trije pogovori, ki jih ljudje zamenjujejo
Razreševanje imena končne točke, šifrirani prenos in DNS po tunelu so trije pogovori. Ugotovite, katera faza je spodletela, preden spremenite vrata ali razreševalnik.
Poročila, ki pravijo, da je VPN blokiran na vratih 53, mešajo tri ugotovitve, ki spodletijo iz različnih razlogov. Razreševanje imena končne točke se zgodi, preden obstaja tunel, šifrirani prenos je ločen pogovor, poizvedbe DNS, izvedene pozneje, pa so tretje. Vsaka ima svoj podpis okvare in le ena od njih se sploh nanaša na DNS.
Preden karkoli spremenite, razvrstite pakete po namenu, ker popravek sledi fazi.
Trije pogovori, ena številka vrat
Prvi pogovor je iskanje imena za končno točko: vaš stroj vpraša nastavljeni razreševalnik, kje je vpn.example.com, in ta odgovor prispe po običajnem DNS, preden odjemalec pošlje en sam tunelski paket. Drugi je sam prenos OpenVPN, ki se poveže na naslov, ki ga je dalo iskanje, po protokolu in vratih, ki jih navaja profil. Tretji se zgodi po tem, ko je tunel postavljen, ko aplikacije zahtevajo imena in poslane nastavitve razreševalnika odločijo, kdo odgovori.
Ti trije lahko uspejo ali spodletijo neodvisno. Odjemalec lahko popolnoma razreši svojo končno točko in vseeno ne doseže poslušalca, lahko pa vzpostavi tunel, medtem ko vsako notranje iskanje imena spodleti, ker nastavitve DNS niso nikoli prispele.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Tabelo berite kot kontrolni seznam in ne kot opis. Če se ime končne točke ne razreši, pozneje ne more delovati nič in tunel se nikoli ne začne.
Številka vrat ne poimenuje aplikacije
Vrata 53 po dogovoru prenašajo DNS, upravljavec OpenVPN pa lahko tam objavi tudi poslušalca, in prav zato je ta številka slab identifikator. Seja OpenVPN na UDP 53 je še vedno seja OpenVPN, poizvedba DNS na strežnik na vratih 53 pa ne pove ničesar o tem, ali je tunel dovoljen. Vrstice proto in remote v profilu določata zunanjo končno točko; številka vrat sama po sebi ne določa ničesar.
Pri diagnosticiranju to reže na obe strani: splošna preizkusna poizvedba UDP na vrata 53 dokazuje, da vrata odgovarjajo, ne pa da odgovarja storitev VPN. Preizkusite s pravim odjemalcem in pravim profilom, ker le to uri rokovanje, ki ga storitev pričakuje.
Dokažite poslušalca, preden krivite omrežje
Na strežniku preverite, kaj je vezano z ss -lunp | grep 53, in primerjajte s protokolom in vrati profila. Iz odjemalčevega omrežja zaženite odjemalca z več podrobnostmi, da bo dnevnik pokazal, kateri naslov in prenos je poskusil. Če strežnik posluša, paketi odjemalca pa ne pridejo, jih zavračata pot ali politika, in to je pogovor z lastnikom omrežja, ne razlog za menjavo vrat.
Druga vrata pomagajo le, kadar storitev tam res posluša in namestitev to dovoljuje. Premikanje poslušalca, da bi se izognili filtriranju upravljanega omrežja, je odločitev o politiki, ne korak za odpravljanje težav. Preden spremenite storitev, vprašajte lastnika omrežja, kaj je dovoljeno, ker bo obhod, ki krši politiko, pozneje vseeno zaprt. Zapišite ta odgovor poleg profila, da naslednja oseba ne bo ponovila zahteve.
Preverite DNS po tunelu, ločeno
Ko je tunel postavljen, preglejte stanje razreševalnika na vmesniku VPN in poizvedite po enem notranjem in enem javnem imenu. Če notranja imena spodletijo, medtem ko tunel prenaša promet, poslane nastavitve DNS niso bile uporabljene, kar je vprašanje integracije odjemalca in ne prenosa. Če javna imena spodletijo, notranja pa delujejo, politika razdeljenega tunela dela tisto, za kar je bila nastavljena.
Spremembe DNS pustite lastniku razreševalnika. Prepisovanje upravljane konfiguracije razreševalnika, da bi en preizkus uspel, lahko pokvari zasebna imena za vse drugo na stroju. Če tunel pošilja razreševalnik in ga odjemalec ignorira, popravite integracijo odjemalca, namesto da bi drugje dodali statični vnos. Statični vnosi skrijejo okvaro, dokler nekdo ne zamenja omrežja. Zapišite, kateri razreševalnik naj odgovarja na kateri imenski prostor.