Упозорење OpenVPN AF_INET: безопасно враћање или неуспешан socket?

Две линије дневника OpenVPN почињу истим речима, и само једна од њих пријављује проблем. Could not determine IPv4/IPv6 protocol. Using AF_INET је обавештење о враћању: профил је оставио породицу адреса отвореном, па је демон изабрао једну и наставио. Грана неуспеха пријављује да socket није створен и тражи поновно покретање. Све након заједничког префикса их раздваја, зато читајте даље пре него што било шта промените.

Шта пријављује обавештење о враћању

OpenVPN прихвата експлицитну породицу преко proto udp4 или proto udp6, и прихвата proto udp када породицу треба извести при покретању. У другом случају демон прегледа локалне податке о повезивању и бира.

Када то извођење функционише, упозорење каже на коју је страну отишло и процес наставља да ствара socket. Сервер са proto udp на домаћину са двоструким стеком често тако заврши на IPv4. Ништа на том путу није грешка и ништа у њему не указује на напад, веб-сервер који недостаје или одбијен налог. Линија је корисна само зато што касније провере треба поредити с породицом коју наводи.

Третирајте то као одговор на једно питање, не као дијагнозу. Каже коју је породицу изабрао овај процес, и ништа о томе зашто клијент не може да се повеже.

Како изгледа грана неуспеха

Касније у истом socket коду постоји грана у којој socket уопште не постоји. Записује краћу поруку о породици адреса и тражи поновно покретање, јер није остало ништа за наставак. Почетне речи се поклапају с враћањем; исход не.

Разликујте их по ономе што следи. Ако демон настави да ради и пријави свог слушаоца, линија је била информација. Ако изађе или се поново покреће у петљи, разговор је сада о повезивању.

Ни проналазак у grepu није идентификација гране. Фраза се појављује у ротираним сажецима, у преломљеним редовима и у одломцима дневника које људи лепе из друге руке, зато читајте суседне редове и редослед временских ознака, а не појединачно поклапање.

Проверите слушаоца уместо упозорења

Сервер који ради одговара на питање о породици директно, без закључивања из текста дневника.

ss -lunp | grep openvpn
ss -ltnp | grep openvpn

Упоредите породицу, адресу и порт с профилом. Линија 0.0.0.0:1194 је само IPv4, док линија [::]:1194 на домаћину са двоструким стеком може прихватити обе породице зависно од поставке bindv6only. Ако профил каже udp а socket је IPv4, клијенти чији resolвер враћа само AAAA запис неће успети пре него што се тунел уопште почне преговарати.

Затим тестирајте с клијента који личи на ваше кориснике: исти пут resolвера, иста врста мреже. Локална веза са сервера доказује врло мало о саобраћају који пролази кроз NAT уређај или правило заштитног зида написано за другу породицу.

Када је присиљавање породице исправно

Фиксирање proto udp4 одговара распоређивању само са IPv4: DNS име само са A, правила заштитног зида за једну v4 адресу, клијенти иза оператера који дају само v4 адресе. То уклања двосмисленост и чини следећи скуп линија дневника предвидивим.

Исти аргумент ради у супротном смеру за окружење с приоритетом IPv6, а udp6 испред базе клијената само са A је самонанети прекид. Присиљавање породице само да би се ућуткало безопасно упозорење класична је верзија ове грешке, јер сте променили ко може да се повеже у замену за мирнији дневник.

Бирајте према крајњим тачкама и клијентима који до њих морају да дођу. OpenVPN 2.6 приручник документује облике транспорта, а порука је резултат тог избора, а не његов улаз.

Држите запис уским

Запишите тачан ред с његовом временском ознаком, ефективну поставку транспорта из покренутог профила, socket како га језгро пријављује и следећу фазу која није успела. Те четири ставке решавају готово свако питање које порука покреће, и ниједна од њих не тражи нагађање о неповезаним сервисима. Оне преживљавају и примопредају, што снимак екрана grepa не чини.

Предлози пакета који долазе уз ово упозорење неповезани су док грешка не наведе извршну датотеку која недостаје.

Ако ifconfig заиста недостаје, демон то каже по имену када га скрипта позове, и то заслужује засебну истрагу. Линија AF_INET и алатка која недостаје различити су неуспеси, а инсталирање ствари да би се видело да ли се упозорење мења је пут којим чист домаћин постаје неуредан.