OpenVPN në portën 53: tri biseda që njerëzit i ngatërrojnë
Zgjidhja e emrit të pikës fundore, transporti i kriptuar dhe DNS-ja pas tunelit janë tri biseda. Përcaktoni se cila fazë dështoi përpara se të ndryshoni një portë ose një zgjidhës.
Raportet që thonë se VPN-ja është bllokuar në portën 53 përziejnë tri vëzhgime që dështojnë për arsye të ndryshme. Zgjidhja e emrit të pikës fundore ndodh përpara se të ekzistojë ndonjë tunel, transporti i kriptuar është një bisedë e veçantë, dhe pyetjet DNS të bëra më pas janë e treta. Secila ka nënshkrimin e vet të dështimit, dhe vetëm njëra prej tyre ka të bëjë fare me DNS.
Para se të ndryshoni çdo gjë, renditni paketat sipas qëllimit, sepse rregullimi ndjek fazën.
Tri biseda, një numër porte
Biseda e parë është një kërkim emri për pikën fundore: makina juaj pyet zgjidhësin e konfiguruar se ku ndodhet vpn.example.com, dhe ai përgjigje vjen përmes DNS-së së zakonshme përpara se klienti të dërgojë edhe një paketë të vetme tuneli. E dyta është vetë transporti OpenVPN, i cili lidhet me adresën që dha kërkimi në protokollin dhe portën që emërton profili. E treta ndodh pasi tuneli është ngritur, kur aplikacionet kërkojnë emra dhe cilësimet e zgjidhësit të shtyra vendosin kush përgjigjet.
Këto tri mund të kenë sukses ose të dështojnë në mënyrë të pavarur. Një klient mund ta zgjidhë përsosmërisht pikën e vet fundore dhe gjithsesi të mos arrijë te dëgjuesi, dhe mund të vendosë një tunel ndërsa çdo kërkim emri i brendshëm dështon sepse cilësimet DNS nuk mbërritën kurrë.
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
Lexojeni tabelën si listë kontrolli dhe jo si përshkrim. Nëse emri i pikës fundore nuk zgjidhet, asgjë më pas nuk mund të funksionojë, dhe tuneli nuk fillon kurrë.
Numri i portës nuk e emërton aplikacionin
Porta 53 mban DNS sipas konventës, dhe një operator OpenVPN mund të publikojë atje edhe një dëgjues, dhe pikërisht për këtë numri është një identifikues i dobët. Një sesion OpenVPN në UDP 53 mbetet një sesion OpenVPN, dhe një pyetje DNS drejt një serveri në portën 53 nuk thotë asgjë nëse një tunel lejohet. Rreshtat proto dhe remote të profilit përcaktojnë pikën fundore të jashtme; numri i portës nuk përcakton asgjë më vete.
Gjatë diagnostikimit kjo pret në të dyja anët: një provë e përgjithshme UDP drejt portës 53 vërteton se një portë përgjigjet, jo se përgjigjet shërbimi VPN. Testoni me klientin e vërtetë dhe profilin e vërtetë, sepse vetëm ai ushtron shtrëngimin e duarve që shërbimi pret.
Vërtetoni dëgjuesin përpara se të fajësoni rrjetin
Në server, verifikoni çfarë është lidhur me ss -lunp | grep 53 dhe krahasojeni me protokollin dhe portën e profilit. Nga rrjeta e klientit, ekzekutoni klientin me më shumë detaje, që regjistri të tregojë çfarë adrese dhe transporti provoi. Nëse serveri po dëgjon dhe paketat e klientit nuk mbërrijnë, rruga ose politika po i refuzon, dhe ajo është një bisedë me pronarin e rrjetit dhe jo një arsye për të ndryshuar portën.
Një portë tjetër ndihmon vetëm kur shërbimi dëgjon vërtet atje dhe vendosja e lejon. Zhvendosja e një dëgjuesi për të shmangur filtrimin e një rrjeti të menaxhuar është një vendim politike, jo një hap zgjidhjeje probleme. Pyetni pronarin e rrjetit çfarë lejohet përpara se të ndryshoni shërbimin, sepse një zgjidhje anësore që shkel politikat mbyllet gjithsesi më vonë. Shkruajeni atë përgjigje pranë profilit, që personi tjetër të mos e përsërisë kërkesën.
Kontrolloni DNS-në pas tunelit, veçmas
Pasi tuneli është ngritur, shqyrtoni gjendjen e zgjidhësit në ndërfaqen VPN dhe pyesni një emër të brendshëm dhe një emër publik. Nëse emrat e brendshëm dështojnë ndërsa tuneli mbart trafik, cilësimet DNS të shtyra nuk u zbatuan, çka është çështje integrimi të klientit dhe jo transporti. Nëse emrat publikë dështojnë dhe ata të brendshëm funksionojnë, politika e tunelit të ndarë po bën atë për të cilën u konfigurua.
Ndryshimet e DNS lërini te pronari i zgjidhësit. Mbishkrimi i një konfigurimi të menaxhuar të zgjidhësit për të kaluar një test mund të prishë emrat privatë për gjithçka tjetër në makinë. Nëse tuneli shtyn një zgjidhës dhe klienti e injoron, rregulloni integrimin e klientit në vend që të shtoni një zë statik diku tjetër. Zërat statikë e fshehin dështimin derisa dikush të ndryshojë rrjetin. Shkruani cili zgjidhës pritet të përgjigjet për çdo hapësirë emrash.