Порт VPN ћути? Слушалац, адреса везивања или заштитни зид домаћина

VPN ништа не одговара на свом порту, а два могућа узрока захтевају супротне поправке: или ниједан процес није отворио сокет, или сокет постоји и нешто између машина зауставља пакете. Једна команда решава прву половину тог питања, зато она долази пре било ког правила заштитног зида. Редослед испод уклања једно објашњење по кораку уместо да додаје још једну претпоставку. Управо нагађање између те две могућности претвара десетоминутну дијагнозу у целу вечер.

Претпоставите да можете да се пријавите на сервер и да је клијент прави профил, а не скенер. Обе претпоставке су важне, јер општа сонда не може да одговори на питање специфично за протокол.

Да ли сокет уопште постоји

Почните од онога што услуга каже о себи: да ли се подигла и, корисније, која је била њена прва грешка при покретању. Грешка при парсирању, кључ који недостаје или грешка при везивању спречавају да слушалац уопште настане, а процес може да изађе тако тихо да се статусна линија чита двосмислено. Јединица која се пријављује као активна није сама по себи доказ, јер главни процес може бити жив док је компонента која је требало да веже порт већ одустала.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Списак сокета је чињеница на којој почива остатак дијагнозе. Читајте колону локалне адресе, а не само порт, јер се у тој колони виде везивања на loopback и везивања на погрешан интерфејс. Слушалац који постоји на 127.0.0.1 ради беспрекорно и даље је невидљив за ваш преносни рачунар.

На којој адреси и у ком породичном скупу сокет одговара

Две грешке изгледају исто са стране клијента и објашњавају већину извештаја „недоступно“. Сервер везан на loopback адресу никада не прихвата саобраћај са друге машине, а сервер везан само на IPv4 адресу никада не одговара клијенту који бира IPv6 адресу истог домаћина. Упоредите адресу из табеле сокета са адресом коју клијент заиста бира, знак по знак, пре него што било шта претпоставите о политици.

Ограничавање списка на један порт одржава га читљивим када домаћин покреће више услуга. sport филтер узима порт заједно са транспортом који тестирате:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Колона протокола мења цео одговор

Табела сокета се индексира по протоколу, као и по порту, и то су два независна уноса. Услуга која одговара на TCP на 1194 не говори ништа о томе да ли нешто слуша на UDP 1194, а клијент ће увек користити само једно од та два. Потврдите који транспорт бира конфигурација сервера и који шаље профил клијента, па потражите тачно тај ред.

UDP има други преклоп: неаутентификована сонда није грешка на коју услуга мора да одговори. Скенирање које пријави порт као тих измерило је уздржаност услуге, а не њену доступност, зато тестирајте правим клијентом и профилом.

Један покушај, три места за поглед

Са одобреног клијента направите тачно један покушај и запишите време до секунде. Затим прочитајте три извора за тај прозор: мрежно правило или конзолу провајдера, бројаче или дневник заштитног зида домаћина и сопствени дневник услуге. Једнократно чињење тога чини три исказа упоредивим и кошта мање од понављања покушаја чије време нико није забележио.

Два исхода показују у супротним смеровима. Ако ниједан пакет није стигао до домаћина, пут га одбацује и слушалац није релевантан. Ако је пакет стигао до сокета и услуга га је одбила, пут је у реду и одговор је у протоколу, криптографији или акредитивима. Отварање порта за услугу која је већ прихватила везу чини следећу дијагнозу тежом, не лакшом.

Именујте фазу пре него што промените правило

Преговори који почну и аутентификација која падне један су квар, а тунел који се успостави док прослеђивање стане потпуно је други. Именовање фазе прво одржава поправку уском: проблем са акредитивима не решава правило заштитног зида, а проблем са путањом података не решава поновно покретање.

Користите најужу дијагностику која одговара на питање. Привремено посматрање пакета на једном порту, под контролом администратора, разумно је средство; искључивање целог заштитног зида није, јер резултат постаје немогуће приписати. Документација за ss покрива горе коришћене филтере и јефтинији је први корак од сваког снимања. Запишите која је од две гране доказана и следећи случај почиње од познатог одговора.