Paralajmërimi AF_INET i OpenVPN: rikthim i padëmshëm apo socket i dështuar?

Dy rreshta të regjistrit të OpenVPN fillojnë me të njëjtat fjalë, dhe vetëm njëri prej tyre raporton një problem. Could not determine IPv4/IPv6 protocol. Using AF_INET është një njoftim rikthimi: profili e la familjen e adresave të hapur, kështu që demoni zgjodhi një dhe vazhdoi. Dega e dështimit raporton se nuk u krijua asnjë socket dhe kërkon rinisje. Çdo gjë pas prefiksit të përbashkët i ndan ato, prandaj lexoni përtej tij përpara se të ndryshoni diçka.

Çfarë raporton njoftimi i rikthimit

OpenVPN pranon një familje të qartë përmes proto udp4 ose proto udp6, dhe pranon proto udp kur familja duhet të nxirret në nisje. Në rastin e dytë demoni shqyrton informacionin lokal të lidhjes dhe zgjedh.

Kur ai nxjerrje funksionon, paralajmërimi tregon në cilin drejtim shkoi dhe procesi vazhdon të krijojë socket-in. Një server me proto udp në një host me stivë të dyfishtë shpesh përfundon kështu në IPv4. Asgjë në atë rrugë nuk është gabim, dhe asgjë në të nuk lë të kuptohet një sulm, një server web që mungon ose një llogari e refuzuar. Rreshti është i dobishëm vetëm sepse kontrollet e mëvonshme duhet të krahasohen me familjen që ai përmend.

Trajtojeni si përgjigje për një pyetje, jo si diagnozë. Tregon cilën familje zgjodhi ky proces, dhe asgjë për arsyen pse një klient nuk mund të lidhet.

Si duket dega e dështimit

Më vonë në të njëjtin kod socket ekziston një degë ku nuk ka fare socket. Regjistron mesazhin më të shkurtër të familjes së adresave dhe kërkon rinisje, sepse nuk ka mbetur asgjë për të vazhduar. Fjalët fillestare përputhen me rikthimin; rezultati jo.

Dalloni ato nga ajo që vjen më pas. Nëse demoni vazhdon të punojë dhe raporton dëgjuesin e tij, rreshti ishte informacion. Nëse del ose rinis në cikël, tani biseda është për lidhjen.

As një gjetje në grep nuk është identifikim i degës. Shprehja shfaqet në përmbledhje të rrotulluara, në rreshta të thyer dhe në fragmente regjistri që njerëzit i ngjitin nga dora e dytë, prandaj lexoni rreshtat fqinjë dhe renditjen e vulave kohore, jo përputhjen e vetme.

Kontrolloni dëgjuesin në vend të paralajmërimit

Një server që punon i përgjigjet pyetjes së familjes drejtpërdrejt, pa konkluzione nga teksti i regjistrit.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Përputhni familjen, adresën dhe portin me profilin. Rreshti 0.0.0.0:1194 është vetëm IPv4, ndërsa rreshti [::]:1194 në një host me stivë të dyfishtë mund të pranojë të dyja familjet sipas cilësimit bindv6only. Nëse profili thotë udp dhe socket-i është IPv4, klientët, zgjidhësi i të cilëve kthen vetëm një regjistrim AAAA, do të dështojnë përpara se tuneli të negociohet fare.

Pastaj provoni nga një klient i ngjashëm me përdoruesit tuaj: e njëjta rrugë e zgjidhësit, i njëjti lloj rrjeti. Një lidhje lokale nga serveri provon shumë pak për trafikun që kalon nëpër një pajisje NAT ose një rregull firewall të shkruar për familjen tjetër.

Kur është e saktë të imponosh një familje

Fiksimi i proto udp4 i përshtatet një vendosjeje vetëm IPv4: një emër DNS vetëm A, rregulla firewall për një adresë v4, klientë pas operatorëve që japin vetëm adresa v4. Ai heq paqartësinë dhe e bën grupin tjetër të rreshtave të regjistrit të parashikueshëm.

I njëjti argument funksionon në kahun e kundërt për një mjedis me IPv6 të parin, dhe udp6 përpara një baze klientësh vetëm A është një ndërprerje e vetëshkaktuar. Imponimi i një familjeje vetëm për të heshtur një paralajmërim të padëmshëm është versioni klasik i këtij gabimi, sepse keni ndryshuar kush mund të lidhet në këmbim të një regjistri më të qetë.

Zgjidhni bazuar në pikat fundore dhe klientët që duhet t'i arrijnë ato. Manuali i OpenVPN 2.6 dokumenton format e transportit, dhe mesazhi është dalja e atij zgjedhjeje, jo hyrja e tij.

Mbajeni procesverbalin të ngushtë

Shkruani rreshtin e saktë me vulën e tij kohore, cilësimin efektiv të transportit nga profili që punon, socket-in siç e raporton kerneli dhe fazën tjetër që dështoi. Këto katër pika zgjidhin pothuajse çdo pyetje që ngre mesazhi, dhe asnjëra prej tyre nuk kërkon hamendje për shërbime të palidhura. Ato i mbijetojnë edhe një dorëzimi, gjë që një pamje ekrani e grep-it nuk e bën.

Sugjerimet e paketave që vijnë së bashku me këtë paralajmërim janë të palidhura derisa një gabim të përmendë një ekzekutues që mungon.

Nëse ifconfig vërtet mungon, demoni e thotë me emër kur një skript e thërret, dhe kjo meriton hetim të veçantë. Rreshti AF_INET dhe një mjet që mungon janë dështime të ndryshme, dhe instalimi i gjërave për të parë nëse paralajmërimi ndryshon është rruga me të cilën një host i pastër bëhet i rregullt.