Porta e VPN-së hesht? Dëgjuesi, adresa e lidhjes apo muri i zjarrit i strehuesit

VPN-ja nuk përgjigjet asgjë në portën e saj, dhe dy shkaqet e mundshme kërkojnë riparime të kundërta: ose asnjë proces nuk hapi socketin, ose socketi ekziston dhe diçka midis makinave ndalon paketat. Një komandë e zgjidh gjysmën e parë të kësaj pyetjeje, prandaj vjen përpara çdo rregulli të murit të zjarrit. Rendi më poshtë heq një shpjegim për hap në vend që të shtojë një hamendje tjetër. Është pikërisht hamendja midis të dyjave ajo që e kthen një diagnozë dhjetë minutash në një mbrëmje të tërë.

Supozoni se mund të hyni në server dhe se klienti është një profil i vërtetë dhe jo një skaner. Të dyja supozimet kanë rëndësi, sepse një sondë e përgjithshme nuk mund t'i përgjigjet një pyetjeje specifike për protokollin.

A ekziston fare socketi

Filloni me atë që shërbimi thotë për veten: nëse u ngrit dhe, më e dobishme, cili ishte gabimi i parë i nisjes. Një dështim analize, një çelës që mungon ose një gabim lidhjeje pengojnë që dëgjuesi të ekzistojë fare, dhe procesi mund të dalë aq heshtur sa rreshti i statusit lexohet në mënyrë të paqartë. Një njësi që raporton aktiv nuk është provë më vete, sepse procesi kryesor mund të jetë i gjallë ndërsa komponenti që duhej të lidhte portën tashmë është dorëzuar.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Lista e socketeve është fakti mbi të cilin mbështetet pjesa tjetër e diagnozës. Lexoni kolonën e adresës lokale dhe jo vetëm portën, sepse pikërisht në atë kolonë shfaqen lidhjet në loopback dhe lidhjet në ndërfaqen e gabuar. Një dëgjues që ekziston në 127.0.0.1 punon në mënyrë të përsosur dhe prapë mbetet i padukshëm për laptopin tuaj.

Në cilën adresë dhe familje përgjigjet socketi

Dy gabime duken njësoj nga ana e klientit dhe shpjegojnë shumicën e raporteve "e paarritshme". Një server i lidhur me adresën loopback nuk pranon kurrë trafik nga një makinë tjetër, dhe një server i lidhur vetëm me një adresë IPv4 nuk i përgjigjet kurrë një klienti që thirr adresën IPv6 të të njëjtit strehues. Krahasoni adresën në tabelën e socketeve me adresën që klienti thirr në të vërtetë, karakter për karakter, përpara se të supozoni diçka për politikën.

Kufizimi i listës në një port e mban atë të lexueshme kur strehuesi drejton disa shërbime. Filtri sport merr portën bashkë me transportin që po testoni:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Kolona e protokollit ndryshon të gjithë përgjigjen

Tabela e socketeve indeksohet si nga protokolli ashtu edhe nga porta, dhe këto janë dy zëra të pavarur. Një shërbim që përgjigjet në TCP në 1194 nuk thotë asgjë nëse diçka dëgjon në UDP 1194, dhe klienti gjithmonë do të përdorë vetëm njërin prej tyre. Konfirmoni cilin transport zgjedh konfigurimi i serverit dhe cilin dërgon profili i klientit, pastaj kërkoni pikërisht atë rresht.

UDP ka një palosje të dytë: një sondë e paautentikuar nuk është gabim që shërbimi duhet t'i përgjigjet. Një skanim që raporton portën si të heshtur ka matur diskrecionin e shërbimit, jo disponueshmërinë e tij, prandaj testoni me klientin dhe profilin e vërtetë.

Një tentativë, tre vende për të parë

Nga një klient i miratuar bëni saktësisht një tentativë dhe shkruani kohën deri në sekondë. Pastaj lexoni tre burime për atë dritare: rregulli i rrjetit ose konsola e ofruesit, numëruesit ose regjistri i murit të zjarrit të strehuesit, dhe regjistri i vetë shërbimit. Ta bësh një herë është ajo që i bën tre dëshmitë të krahasueshme, dhe kushton më pak se përsëritja e një tentative që askush nuk shënoi vulën e kohës.

Dy rezultatet tregojnë drejtime të kundërta. Nëse asnjë paketë nuk arriti te strehuesi, rruga po e hedh dhe dëgjuesi është i parëndësishëm. Nëse paketa arriti te socketi dhe shërbimi e refuzoi, rruga është në rregull dhe përgjigjja ndodhet në protokoll, kriptografi ose kredenciale. Hapja e një porte për një shërbim që tashmë ka pranuar një lidhje e bën diagnozën tjetër më të vështirë, jo më të lehtë.

Emërtoni fazën përpara se të ndryshoni një rregull

Negociata që fillon dhe autentikimi që dështon janë një dështim, dhe një tunel që krijohet ndërsa përcjellja ngec është krejt tjetër. Emërtimi i fazës së pari e mban riparimin të ngushtë: një problem kredencialesh nuk rregullohet nga një rregull muri zjarri, dhe një problem i rrugës së të dhënave nuk rregullohet nga një rinisje.

Përdorni diagnozën më të ngushtë që i përgjigjet pyetjes. Vëzhgimi i përkohshëm i paketave në një port, nën kontrollin e një administratori, është instrument i arsyeshëm; çaktivizimi i të gjithë murit të zjarrit nuk është, sepse rezultati bëhet i pamundur për t'u atribuuar. Dokumentacioni i ss mbulon filtrat e përdorur më sipër, dhe është një hap i parë më i lirë se çdo kapje. Shënoni cilën nga dy degët vërtetuat, dhe rasti i ardhshëm nis nga një përgjigje e njohur.