OpenVPN inaunganisha lakini hakuna kinachotiririka: pata tabaka ambapo paketi huanguka

OpenVPN inasema imeunganishwa na hakuna trafiki inayosonga, sentensi inayofunika angalau hitilafu tano zisizohusiana. Kuhariri kanuni za firewall kabla ya kujua tabaka gani linashindikana huongeza mambo yasiyojulikana na kumwachia mhandisi anayefuata fujo. Fanya kazi badala yake kutoka mchakato kwenda nje, kwa sababu kila hatua hapa chini ama husafisha hatua moja au hupunguza mahali paketi inapokufa. Mpangilio ni muhimu hapa: kamatati iliyochukuliwa kabla ya kujua anwani ipi imefungwa itathibitisha kitu, sio tu kile unachohitaji.

Soketi ama imefungwa au haijafungwa

Huduma inayoripoti kuwa hai bado inaweza kuwa imefungwa kwa anwani au usafirishaji ambao hukukusudia kamwe. Uliza soketi yenyewe: ss -lunp huorodhesha wasikilizaji wa UDP na ss -ltnp huorodhesha TCP, na safu inayostahili kusomwa ni anwani ya ndani, sio hali.

Jibu tupu kwa kawaida humaanisha moja ya mambo matatu: mchakato ulitoka baada ya kuanza, ulipakua faili nyingine ya usanidi, au unaskiliza kwenye anwani tofauti na ile inayopigwa simu.

ss -lunp | grep 1194
ss -ltnp | grep 1194

local maagizo huweka msikilizaji kwenye anwani moja, kwa hivyo mteja anayeelekea mahali pengine kwenye mwenyeji huyo huyo hukataliwa wakati huduma kutoka nje bado inaonekana mzima. Jina la mfano pia linaweza kuelekeza kwenye faili ambayo hukuhariri kamwe, jambo linalotokea kwenye wenyeji wanaotumia wasifu wawili kando kando.

Kamata paketi ya nje, sio tuneli

Chuja kwenye kiolesura cha kimwili na mlango halisi, ukiweka kiolesura chako: tcpdump -ni eth0 udp port 1194. Paketi zinazotoka bila kitu kurudi zinaelekeza kwenye kilicho juu: uchujaji wa mtoa huduma, kifaa cha NAT, au anwani ya mbali ambayo sio ile unayofikiri. Ukimya katika pande zote mbili unaonyesha uelekezaji wa mteja au firewall ya ndani. Majibu yanayofika bila maendeleo ya tuneli yanaelekeza kwenye chaneli ya udhibiti, yaani kutokulingana kwa ufunguo au sifa, sio uchujaji.

Kamata pande zote mbili na uweke faili fupi. Ukamataji mrefu huzika sekunde tatu za kuvutia, na jibu karibu kila mara liko kwenye ubadilishanaji wa kwanza.

Kwanza vihesabu, ufuatiliaji tu wanaposema uongo

Anza na vihesabu, kwa sababu havigharimu chochote. Aidha nft list ruleset au iptables -L -n -v hujibu swali pekee lililo muhimu hapa: kanuni ililingana? Mpangilio huamua matokeo, kwa sababu mechi ya kwanza hushinda, ndiyo sababu DROP pana kabla ya ACCEPT ya baadaye huiacha ACCEPT hiyo imekufa na ndiyo sababu kuongeza kanuni mara chache hurekebisha kitu.

Umiliki pia huwavuruga watu. Kernel huhusisha paketi zilizozalishwa ndani na mchakato uliofungua soketi, na OpenVPN kwa kawaida huendeshwa kama root, kwa hivyo kanuni iliyofungwa kwa kitambulisho cha mtumiaji wa kawaida haioni kamwe trafiki ya tuneli yenyewe. Angalia UID ya mmiliki kabla ya kuamua kuwa kanuni ni mbaya.

Ni pale tu vihesabu vinapobaki bila uwazi ambapo kumbukumbu inastahili kelele, na hata hapo kwa kipande chembamba tu: kanuni ya iptables inayopunguza kasi na kuongeza kiambishi kwenye mistari yake, au kanuni ya nftables iliyo na meta nftrace set 1 wakati nft monitor trace inaendesha. Ufuatiliaji hutaja mnyororo na kanuni iliyokubali au kutupa paketi. Kisha ondoa zote mbili na uweke uandikaji wa mzigo nje.

Angalia usafirishaji pia. Huduma ya firewall iliyozuiliwa kwa TCP haisemi kitu kuhusu msikilizaji wa UDP kwenye nambari hiyo, kwa hivyo kanuni inayosomwa kwa usahihi bado inaweza kutupa kila paketi.

Uelekezaji na njia ya kurudi

Paketi iliyokubaliwa ambayo bado inatoweka inahitaji njia yake ya mwisho kuchunguzwa. ip route get huripoti njia iliyochaguliwa kwa anwani moja, na uchujaji wa njia ya kurudi unaweza kutupa jibu linalofika kupitia kiolesura ambacho jedwali kuu halingechagua kamwe. Dalili inaonekana kama kutupwa na firewall, ndiyo sababu ukaguzi huu huja kabla ya kanuni nyingine ya NAT.

Kwenye lango, kagua uelekezaji na mnyororo wa forward badala ya mnyororo wa input. Kisha thibitisha kuwa upande wa mbali unajua jinsi ya kufikia anwani ya chanzo, kwa sababu njia ya kutoka inayofanya kazi bila kitu kurudi ni ukimya katika hali zote mbili.

Kumbukumbu inapaswa kusema nini

Kwa kila mabadiliko, andika hatua uliyojaribu, ushahidi uliosoma na thamani ya kihesabu pande zote mbili. Kumbukumbu hiyo ndiyo inayofanya "sasa inafanya kazi" iweze kudumu kwenye mapitio yajayo.

Njia mbili za mkato huweka kumbukumbu kuwa ya kweli. Paketi ambayo haikuwahi kuondoka kwenye mwenyeji haiwezi kuwa ilitupwa na kanuni mahali pengine, hata usanidi wa upande wa mbali uonekane wa kushawishi kiasi gani. Paketi iliyotoka na kurudi huhamisha swali juu ya tabaka la mtandao, ambapo vihesabu vya firewall havina la kukuambia tena.