OpenVPN deluje doma, a ne v enem omrežju: UDP ali TCP?

Isti profil se poveže od doma in se ustavi v hotelskem, kampusnem ali podružničnem omrežju. Poverilnice se niso spremenile, zato je zanimiva spremenljivka pot: OpenVPN kaj se zgodi s paketi, preden jih prebere. Primerjava štirih možnih vzrokov v vrstnem redu, v katerem jih je mogoče preizkusiti, je boljša od ugibanja o potrdilih. Vsak pusti drugačno sled, in sled je tisto, kar jih loči.

Katera faza je spodletela, pove, katera primerjava je pomembna

Dnevnik odjemalca že beleži, kako daleč ste prišli. Vrstica, da se pogajanje o ključu TLS ni zgodilo v časovni omejitvi, pomeni, da je prvi paket odšel in nič uporabnega se ni vrnilo, kar kaže na pot. Zavrnitev potrdila je videti povsem drugače: prispe odgovor, nato pa določena napaka preverjanja navede razlog. Zapišite zadnjo vrstico pred zanko ponovnih poskusov, ker je to vrednost, ki jo primerjate med omrežji.

Zajemajte med ponovnim poskusom, ne pozneje. Na odjemalcu tcpdump -ni any udp port 1194 pokaže, ali se sploh vrača kakšen odgovor. Ponovite na vmesniku WAN strežnika, ki ga upravljate, kar razkrije, ali ti paketi sploh dosežejo oddaljeni konec.

Enosmerni promet je tu najbolj uporaben rezultat, ker spremeni občasno pritožbo v smer preiskave. Shranite datoteke zajema, ker je naslednje poročilo o isti težavi lažje zapreti z dokazi kot z opisom.

Filtriranje UDP proti zaprtim vratom

Mnoga dostopna omrežja menijo, da je daljši UDP sumljiv, in nekateri ponudniki internetnih storitev se strinjajo. Zaprta vrata ustvarijo enako tišino na strani odjemalca. Razlika je selektivnost: filter je pogosto izbirčen glede tega, katere cilje ali vrata zavrže, medtem ko zaprta vrata zavrnejo vse, kar je usmerjeno na ta vrata.

Profil TCP na vratih 443 je običajna rešitev, ker spominja na običajen tok HTTPS in preide skozi večino captive portalov in izhodnih filtrov. Izpolnjena morata biti dva pogoja. Strežnik mora poslušati z proto tcp-server in odjemalec se mora ujemati z proto tcp-client, upravljavec pa mora objaviti to alternativno končno točko. Prepisovanje delujočega profila UDP v trditev TCP 443 ne pripelje nikamor, ko na drugi strani nihče ne posluša.

Zaprta vrata so težava konfiguracije, ne cenzure. Strežnik za domačim usmerjevalnikom potrebuje posredovanje vrat UDP, požarni zid usmerjevalnika pa mora to dovoliti. Če vrata nikoli niso bila dovoljena, vsak odjemalec spodleti pri pogajanju ne glede na poverilnice, in napaka sledi strežniku, ne omrežju.

Starejši protokoli so na tej osi slabi. PPTP potrebuje TCP 1723 plus GRE, GRE pa je protokol IP 47, ne vrata, zato običajno posredovanje vrat tega ne izrazi.

Ko pakete spušča stikalo

Upravljano stikalo lahko tunel namerno spusti. Nekateri modeli HPE in Aruba v razdelku napredne varnosti ponujajo nadzor zaščite pred poplavo UDP, včasih označen kot Prevent UDP Blat Attack. Ko je ta nadzor aktiven, strežnik za stikalom ne odgovori na nič in vsak odjemalec se konča s časovno prekoračitvijo na enak način. Izklop in shranitev tekoče konfiguracije je celotno popravilo, a šele potem, ko ugotovite, da je stikalo res na poti.

Proti dokazi so tisto, kar loči spust stikala od blokade ponudnika. Pred odpiranjem zahtevka pri ponudniku preberite števce vmesnika in dnevnik zaščite pred poplavo. Potrošniški usmerjevalniki z zaščito pred DoS ali poplavo spodletijo v enaki obliki, prav tako vsak vmesni element s kratkim časom mirovanja UDP. Roka, ki se nikoli ne dokonča, kaže na spust, medtem ko tunel, ki umre po nekaj minutah tišine, kaže na časovno omejitev.

Preden spremenite profil, zapišite vsako napravo med odjemalcem in strežnikom. Popravek na napačnem sloju je videti pravilen do naslednjega omrežja. Ta seznam tudi pove naslednjemu inženirju, kam naj pogleda, ne da bi ponavljal celotno preiskavo.

Prekrivanje naslovov, ki je videti kot okvara DNS

Dostopno omrežje, oštevilčeno znotraj 10.0.0.0/8, se lahko prekriva s skladom tunela, in resolver običajno živi v tem skladu. Ko prenosnik v omrežju Wi-Fi prejme naslov, kot je 10.184.178.50 z masko /8, je vsak cilj 10.x po definiciji lokalen. Paketi za 10.4.0.1 nato gredo v LAN, tunel ostane pokonci in razreševanje imen spodleti.

ip addr razkrije prekrivanje na prvi pogled, ip route get 10.4.0.1 pa pokaže, kam bi bil paket v resnici dostavljen. Ker je viden simptom okvara resolverja, to pogosto preživi več krogov sprememb DNS.

Ponovno oštevilčite sklad ali ohranite to dostopno omrežje zunaj obsega. Nobena nastavitev na strani odjemalca ne odpravi prekrivanja.

Izbira med rezervno potjo TCP in popravilom poti

Izberite rezervno pot TCP, kadar poti ne nadzirate in morajo uporabniki delati danes, ter sprejmite njene stroške: TCP v TCP se na povezavah z izgubami obnaša slabo, rezervna pot pa potrebuje poslušalca, ki ga upravljate vi. Izberite popravilo poti, kadar blokada leži na infrastrukturi, ki je vaša, ker je pravilo požarnega zidu cenejše od drugega poslušalca. Kakor koli, pojdite skozi plasti po vrsti: povezava, zunanji transport, pogajanje, notranje usmerjanje. Faza, ki je v tem omrežju spodletela, je edino pomembno dejstvo.

Rezultat beležite po omrežju, ne po uporabniku. Naslednje poročilo o isti okvari se potem začne pri znani fazi namesto pri teoriji o potrdilih. Ta zapis je tudi tisto, kar upravičuje trajnega drugega poslušalca, če bo kdaj potreben.