A duhet klienti juaj OpenVPN të përdorë nobind apo një port fiks?

Dy profile që ndryshojnë në një rresht sillen ndryshe në momentin që nis një klient i dytë në të njëjtin host. Njëri mban nobind dhe merr çdo portë lokale që jep bërthama; tjetri rezervon 1194, dhe instanca e dytë vdes me një adresë që është tashmë në përdorim. Ai rresht vendos kush zgjedh portën e burimit, e cila nga ana tjetër vendos nëse profili mund të bashkëjetojë me çdo gjë tjetër në makinë. Tri pyetje e zgjidhin, dhe e para u përgjigjet shumicës së profileve para se të arrini te dy të tjerat.

Çfarë anashkalon në të vërtetë nobind

Si parazgjedhje klienti lidh një socket lokal para se të telefonojë, dhe porta lokale është 1194 nëse profili nuk thotë ndryshe. nobind heq atë rezervim, kështu që stiva cakton një portë të papërdorur në kohën e lidhjes. Është përjashtim, jo parazgjedhje, dhe një klient pa rreshtin mban 1194, dhe pikërisht për këtë instanca e dytë e pafiksuar përplaset. Shumica e profileve të klientit të shpërndara mbajnë direktivën për këtë arsye, dhe fakti që një skedar shembull bën diçka nuk është njësoj si mekanizmi që e bën atë si parazgjedhje.

Ajo që nuk ndryshon është ana e largët. Serveri vazhdon të dëgjojë atje ku profili thotë se dëgjon, dhe porta e destinacionit në konfigurim është ende porta e destinacionit. Një portë burimi dinamike ndryshon adresën e kthimit të socket-it tuaj dhe asgjë të atij të serverit.

Nuk fsheh asgjë. Adresa juaj publike është ajo në të cilën rruga e përkthen, paketa vazhdon të kalojë nëpër rrjetin lokal, dhe kushdo që e drejton atë rrjet vazhdon të shohë një rrjedhë. nobind nuk është as funksion privatësie as anashkalim i firewall-it.

Tri kushte që e vendosin

Një pyetje vendos dy të tjerat, prandaj përgjigjuni para se të redaktoni diçka. Nëse partneri lidhet nga jashtë, pyetjet e mbetura vetëm e rafinojnë një vendim tashmë të marrë. Nëse pranon lidhje hyrëse, asnjë rregullim i portës lokale nuk e bën atë të arritshme.

A e nis ky partner lidhjen? Nëse lidhet nga jashtë, një portë burimi dinamike është e padëmshme dhe zakonisht e preferueshme, sepse përgjigja kthehet me të njëjtën rrjedhë. Nëse pret lidhje hyrëse, një portë dinamike e bën të paarritshme, përveç nëse diçka përpara publikon portën. Ai një përgjigje i ndan të gjitha profilet e klientit nga të gjitha profilet e serverit.

A filtron rruga sipas portës së burimit? Një rregull i rreptë i shkruar për një portë të njohur imponon një portë lokale të qartë, dhe profili duhet të shënojë cilin rregull plotëson. Shumica e rrjeteve filtrojnë vetëm sipas destinacionit, prandaj ky kusht është më i rrallë se i pari. Aty ku zbatohet, ai mbizotëron mbi preferencën për një portë dinamike.

A ndajnë disa instanca hostin? Një portë e vetme fikse nuk mund t'u shërbejë dy prej tyre, dhe një instancë e rinisur mund të gjejë 1194 ende në gjendje mbylljeje. Portat dinamike e heqin atë konflikt pa ndryshuar asgjë tjetër. Nëse nuk mund t'i përgjigjeni me besim, supozoni po dhe lëreni bërthamën të zgjedhë.

Ku një portë e fiksuar është përgjigja e saktë

Disa rrjete filtrojnë si sipas portës së burimit ashtu edhe sipas destinacionit, kështu që një operator mund të ketë shkruar një rregull që lë të kalojë vetëm trafikun nga një portë e njohur. Fiksimi i portës lokale atëherë është i saktë, dhe profili duhet të mbajë një koment që emërton rregullin që plotëson. Fiksimi për simetri me portën e serverit nuk është arsye, sepse të dy numrat nuk kanë asgjë të përbashkët me njëri-tjetrin. Nëse fiksimi ekziston vetëm sepse e kishte një shabllon, fshijeni.

Përndryshe një portë e fiksuar blen telashe: dy klientë në një makinë nuk mund t'i mbajnë të dy 1194, dhe i dyti dështon me një gabim që tregon portën dhe jo profilin. Një kontejner që rinis shpejt përplaset me të njëjtin mur. Rregullimi është direktiva që profilet e shpërndara tashmë e përmbanin.

Serveri dhe klienti nuk janë simetrikë

manuali i OpenVPN 2.6 e vendos nobind pranë lport, që është argumenti në një rresht: një opsion thotë se zgjedh bërthama, tjetri thotë se zgjidhni ju. Një portë lokale dinamike funksionon vetëm për partnerin që lidhet nga jashtë, sepse ana që përgjigjet nuk mund ta dijë portën paraprakisht. Prandaj kopjimi i një profili klienti në server prodhon një dëgjues që askush nuk mund ta arrijë.

Në një host me disa ndërfaqe rrjeti, adresa është një vendim i ndarë nga porta. Lidhja e një adrese lokale të caktuar dhe lidhja e një porte të caktuar janë dy cilësime të ndryshme, dhe një server me dy lidhje lart zakonisht fikson të dyja. Një klient që fikson të dyja ka marrë të njëjtin ngurtësi pa asnjë përfitim.

Përmbledhja ka të bëjë me rolet, jo me sigurinë: kush lidhet nga jashtë mund të jetë fleksibël për burimin e vet, dhe kush përgjigjet nuk mundet. Asnjë zgjedhje nuk ndryshon atë që ana tjetër mëson për identitetin tuaj. Prandaj direktiva shfaqet në shembujt e klientit dhe pothuajse kurrë në ata të serverit.

Verifikoni portën që zgjodhi bërthama

Pas lidhjes, lexoni socket-in dhe jo konfigurimin, sepse konfigurimi deklaron qëllimin dhe socket-i deklaron çfarë ndodhi. Faktet që ia vlen të shënohen janë porta lokale, pika e largët fundore dhe nëse diçka ende dëgjon. Në një host Linux të tre janë një komandë larg.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Një klient me nobind tregon një portë lokale të lartë dhe portën e largët të konfiguruar, që është forma e pritur. Një server tregon një socket që dëgjon në portën e tij të konfiguruar, dhe nëse ai socket mungon, profili ose nuk është dëgjues ose nuk arriti të lidhet. Kur ekziston një rrjedhë por paketat nuk kthehen, krahasoni portën e burimit të zgjedhur me çdo filtër portash në rrugë para se të redaktoni profilin. Ndryshoni një gjë, rilidhuni dhe lexoni socket-in përsëri.