OpenVPN inafanya kazi nyumbani lakini si kwenye mtandao mmoja: UDP au TCP?

Wasifu huo huo huunganisha nyumbani na kusimama kwenye mtandao wa hoteli, chuo au tawi. Vitambulisho havijabadilika, kwa hiyo kigezo cha kuvutia ni njia: OpenVPN nini hufanyika kwa pakiti kabla ya kuzisoma. Kulinganisha sababu nne zinazowezekana kwa mpangilio unaoweza kujaribiwa ni bora kuliko kubahatisha kuhusu vyeti. Kila moja huacha alama tofauti, na alama ndiyo inayowatenganisha.

Hatua ipi ilishindwa inakuambia ulinganisho upi ni muhimu

Logi ya mteja tayari inarekodi umefika mbali kiasi gani. Mstari unaosema mazungumzo ya ufunguo wa TLS hayakutokea ndani ya muda uliowekwa ina maana pakiti ya kwanza ilitoka na hakuna kitu cha kutumika kilichorudi, jambo linaloelekeza kwenye njia. Kukataliwa kwa cheti huonekana tofauti kabisa: jibu hufika, kisha kosa mahususi la uthibitishaji hutaja sababu. Andika mstari wa mwisho kabla ya mzunguko wa kujaribu tena, kwa sababu hiyo ndiyo thamani unayolinganisha kati ya mitandao.

Nasa wakati wa kujaribu tena, sio baadaye. Kwenye mteja tcpdump -ni any udp port 1194 huonyesha kama jibu lolote linarudi. Rudia kwenye kiolesura cha WAN cha seva unayodhibiti, jambo linalofichua kama pakiti hizo zinafika mwisho wa mbali.

Trafiki ya upande mmoja ni matokeo yenye manufaa zaidi yanayopatikana hapa, kwa sababu hubadilisha malalamiko ya vipindi kuwa mwelekeo wa uchunguzi. Hifadhi faili za kunasa, kwa sababu ripoti ijayo ya tatizo hilo hilo hufungwa kwa urahisi zaidi kwa ushahidi kuliko maelezo.

Uchujaji wa UDP dhidi ya bandari iliyofungwa

Mitandao mingi ya ufikiaji huona UDP endelevu kama ya kutiliwa shaka, na baadhi ya ISP wanakubaliana nao. Bandari iliyofungwa hutoa ukimya huo huo kutoka upande wa mteja. Tofauti ni uteuzi: kichujio huwa mteuzi kuhusu ni maeneo au bandari gani inazitupa, wakati bandari iliyofungwa inakataa kila kitu kinachoelekezwa kwenye bandari hiyo.

Wasifu wa TCP kwenye bandari 443 ndiyo suluhisho la kawaida, kwa sababu unafanana na mtiririko wa kawaida wa HTTPS na hupita kwenye portal nyingi za captive na vichujio vya kutoka. Masharti mawili lazima yatimizwe. Seva lazima isikilize kwa proto tcp-server na mteja lazima alingane na proto tcp-client, na mwendeshaji lazima achapishe kituo hicho mbadala. Kuandika upya wasifu wa UDP unaofanya kazi ili kudai TCP 443 hakufikishi popote wakati upande wa pili hakuna anayesikiliza.

Bandari iliyofungwa ni tatizo la usanidi, sio tatizo la udhibiti. Seva iliyo nyuma ya rauta ya nyumbani inahitaji uelekezaji wa bandari ya UDP, na ngome ya rauta lazima iruhusu. Wakati bandari haikuruhusiwa kamwe, kila mteja hushindwa kwenye mazungumzo bila kujali vitambulisho, na hitilafu hufuata seva badala ya mtandao.

Itifaki za zamani hazifanyi vizuri kwenye mhimili huu. PPTP inahitaji TCP 1723 pamoja na GRE, na GRE ni itifaki ya IP 47 sio bandari, kwa hiyo uelekezaji wa kawaida wa bandari hauwezi kuieleza.

Wakati swichi ndiyo inayotupa pakiti

Swichi inayosimamiwa inaweza kutupa handaki kwa makusudi. Baadhi ya modeli za HPE na Aruba hutoa kidhibiti cha kinga ya mafuriko ya UDP, wakati mwingine kikiwa na lebo Prevent UDP Blat Attack, katika sehemu yao ya usalama wa hali ya juu. Kidhibiti hicho kinapokuwa hai, seva iliyo nyuma ya swichi haijibu chochote na kila mteja huisha kwa muda kwa njia ile ile. Kuondoa na kuhifadhi usanidi unaoendelea ndiyo ukarabati wote, lakini tu baada ya kuthibitisha kuwa swichi kweli iko njiani.

Ushahidi kinyume ndio unaotenganisha kutupwa kwa swichi na kuzuiwa kwa mtoa huduma. Soma vihesabu vya kiolesura na logi ya kinga ya mafuriko kabla ya kufungua tiketi kwa ISP. Rauta za watumiaji zilizo na kinga ya DoS au mafuriko hushindwa kwa namna hiyo hiyo, na vilevile sanduku lolote la kati lenye kikomo kifupi cha kutokuwepo kwa UDP. Kupeana mkono kusikoisha kamwe kunaashiria kutupwa, wakati handaki linalokufa baada ya dakika chache za ukimya kunaashiria kikomo cha muda.

Andika kila kifaa kati ya mteja na seva kabla ya kubadilisha wasifu. Marekebisho yaliyowekwa kwenye tabaka lisilofaa huonekana sawa hadi mtandao ujao. Orodha hiyo pia humwambia mhandisi ajaye wapi aangalie bila kurudia uchunguzi wote.

Mwingiliano wa anwani unaoonekana kama hitilafu ya DNS

Mtandao wa ufikiaji ulio na namba ndani ya 10.0.0.0/8 unaweza kuingiliana na dimbwi la handaki, na kitatuzi kwa kawaida huishi ndani ya dimbwi hilo. Kompyuta ndogo inapopokea anwani kama 10.184.178.50 na kifuniko cha /8 kwenye Wi-Fi, kila marudio ya 10.x ni ya ndani kwa ufafanuzi. Pakiti za 10.4.0.1 kisha huenda kwenye LAN, handaki hubaki juu, na utatuzi wa majina hushindwa.

ip addr huonyesha mwingiliano kwa mtazamo mmoja, na ip route get 10.4.0.1 huonyesha pakiti itakopelekwa kweli. Kwa kuwa dalili inayoonekana ni hitilafu ya kitatuzi, hii mara nyingi huishi kupitia raundi kadhaa za mabadiliko ya DNS.

Panga upya namba za dimbwi au weka mtandao huo wa ufikiaji nje ya wigo. Hakuna mpangilio wa upande wa mteja unaopona kutokana na mwingiliano.

Kuchagua kati ya njia mbadala ya TCP na marekebisho ya njia

Chagua njia mbadala ya TCP wakati haudhibiti njia na watumiaji wanahitaji kufanya kazi leo, na kubali gharama zake: TCP ndani ya TCP hufanya vibaya kwenye viungo vyenye upotevu, na njia mbadala inahitaji msikilizaji unaoendesha wewe. Chagua marekebisho ya njia wakati kizuizi kiko kwenye miundombinu unayomiliki, kwa sababu sheria ya ngome ni nafuu kuliko msikilizaji wa pili. Vyovyote vile, pitia tabaka kwa mpangilio: kiungo, usafirishaji wa nje, mazungumzo, uwelekezaji wa ndani. Hatua iliyoshindwa kwenye mtandao huo ndiyo ukweli pekee unaojalisha.

Rekodi matokeo kwa mtandao, sio kwa mtumiaji. Ripoti ijayo ya hitilafu hiyo hiyo kisha huanza kutoka hatua inayojulikana badala ya nadharia ya vyeti. Rekodi hiyo pia ndiyo inayohalalisha msikilizaji wa pili wa kudumu, ikiwa utahitajika wakati wowote.