OpenVPN కనెక్ట్ అవుతుంది కానీ ఏమీ ప్రవహించదు: ప్యాకెట్ పడే పొరను కనుగొనండి

OpenVPN కనెక్ట్ అయిందని చెబుతుంది, ఏ ట్రాఫిక్ కదలదు, ఈ వాక్యం కనీసం ఐదు సంబంధం లేని లోపాలను కవర్ చేస్తుంది. ఏ పొర విఫలమవుతుందో తెలుసుకునే ముందు ఫైర్వాల్ నియమాలను సవరించడం తెలియని వాటిని గుణిస్తుంది మరియు తదుపరి ఇంజనీర్కు గందరగోళాన్ని వదిలిస్తుంది. బదులుగా ప్రక్రియ నుండి బయటకు పని చేయండి, ఎందుకంటే క్రింది ప్రతి అడుగు ఒక దశను శుభ్రం చేస్తుంది లేదా ప్యాకెట్ ఎక్కడ చనిపోతుందో సన్నగా చేస్తుంది. ఇక్కడ క్రమం ముఖ్యం: ఏ చిరునామా బద్ధమైందో తెలుసుకునే ముందు తీసుకున్న క్యాప్చర్ ఏదో నిరూపిస్తుంది, కానీ మీకు కావాల్సినది కాదు.

సాకెట్ బద్ధమైంది లేదా కాదు

సక్రియంగా నివేదించే సేవ మీరు ఎప్పుడూ ఉద్దేశించని చిరునామా లేదా రవాణాకు ఇప్పటికీ బద్ధమై ఉండవచ్చు. సాకెట్నే అడగండి: ss -lunp UDP వినేవారిని జాబితా చేస్తుంది మరియు ss -ltnp TCP జాబితా చేస్తుంది, మరియు చదవదగిన నిలువు వరుస స్థానిక చిరునామా, స్థితి కాదు.

ఖాళీ సమాధానం సాధారణంగా మూడింటిలో ఒకటి అని అర్థం: ప్రక్రియ ప్రారంభమైన తర్వాత నిష్క్రమించింది, మరొక కాన్ఫిగరేషన్ ఫైల్ను లోడ్ చేసింది, లేదా డయల్ చేయబడే చిరునామా కంటే వేరే చిరునామాలో వింటోంది.

ss -lunp | grep 1194
ss -ltnp | grep 1194

local సూచన వినేవారిని ఒకే చిరునామాకు పిన్ చేస్తుంది, కాబట్టి అదే హోస్ట్లో వేరే చోటుకు లక్ష్యంగా చేసుకున్న క్లయింట్ తిరస్కరించబడుతుంది, అయితే సేవ బయట నుండి ఇప్పటికీ ఆరోగ్యంగా కనిపిస్తుంది. ఇన్స్టాన్స్ పేరు కూడా మీరు ఎప్పుడూ సవరించని ఫైల్ను సూచించవచ్చు, ఇది రెండు ప్రొఫైల్లను పక్కపక్కనే నడిపే హోస్ట్లలో జరుగుతుంది.

బయటి ప్యాకెట్ను క్యాప్చర్ చేయండి, సొరంగాన్ని కాదు

భౌతిక ఇంటర్ఫేస్ మరియు నిజమైన పోర్టులో ఫిల్టర్ చేయండి, మీ ఇంటర్ఫేస్ను ఉంచి: tcpdump -ni eth0 udp port 1194. తిరిగి ఏమీ రాని బయటకు వెళ్ళే ప్యాకెట్లు పైన ఉన్నదాన్ని సూచిస్తాయి: ప్రొవైడర్ ఫిల్టరింగ్, NAT పరికరం, లేదా మీరు అనుకున్నది కాని దూర చిరునామా. రెండు దిశల్లో నిశ్శబ్దం క్లయింట్ రూటింగ్ లేదా స్థానిక ఫైర్వాల్ను సూచిస్తుంది. సొరంగ పురోగతి లేకుండా వచ్చే సమాధానాలు నియంత్రణ ఛానెల్ను సూచిస్తాయి, అంటే కీ లేదా సైఫర్ సరిపోలకపోవడం, ఫిల్టరింగ్ కాదు.

రెండు దిశలను క్యాప్చర్ చేయండి మరియు ఫైల్ను చిన్నదిగా ఉంచండి. పొడవైన క్యాప్చర్ ఆసక్తికరమైన మూడు సెకన్లను పాతిపెడుతుంది, మరియు సమాధానం దాదాపు ఎప్పుడూ మొదటి మార్పిడిలో ఉంటుంది.

మొదట కౌంటర్లు, ట్రేస్ అవి అబద్ధం చెప్పినప్పుడు మాత్రమే

కౌంటర్లతో ప్రారంభించండి, ఎందుకంటే అవి ఏమీ ఖర్చు చేయవు. nft list ruleset లేదా iptables -L -n -v ఇక్కడ ముఖ్యమైన ఏకైక ప్రశ్నకు సమాధానం ఇస్తుంది: నియమం సరిపోలిందా? క్రమం ఫలితాన్ని నిర్ణయిస్తుంది, ఎందుకంటే మొదటి సరిపోలిక గెలుస్తుంది, అందుకే తర్వాతి ACCEPT కంటే ముందు విస్తృత DROP ఆ ACCEPT ను చనిపోయినట్టు వదిలిస్తుంది మరియు అందుకే నియమాన్ని జోడించడం చాలా అరుదుగా ఏదైనా సరిచేస్తుంది.

యాజమాన్యం కూడా ప్రజలను తడబాటుకు గురిచేస్తుంది. కెర్నల్ స్థానికంగా ఉత్పత్తి చేసిన ప్యాకెట్లను సాకెట్ తెరిచిన ప్రక్రియకు ఆపాదిస్తుంది, OpenVPN సాధారణంగా root గా నడుస్తుంది, కాబట్టి సాధారణ వినియోగదారు ID కు బద్ధమైన నియమం సొరంగం స్వంత ట్రాఫిక్ను ఎప్పుడూ చూడదు. నియమం తప్పు అని నిర్ణయించే ముందు యజమాని UID ను తనిఖీ చేయండి.

కౌంటర్లు అస్పష్టంగా ఉన్నప్పుడు మాత్రమే లాగ్ శబ్దానికి తగినది, అప్పుడు కూడా ఇరుకైన భాగానికి మాత్రమే: వేగాన్ని పరిమితం చేసి తన లాగ్ పంక్తులకు ఉపసర్గ జోడించే iptables నియమం, లేదా nft monitor trace నడుస్తున్నప్పుడు meta nftrace set 1 కలిగిన nftables నియమం. ట్రేస్ ప్యాకెట్ను అంగీకరించిన లేదా విసిరిన గొలుసు మరియు నియమానికి పేరు పెడుతుంది. తర్వాత రెండింటినీ తీసివేయండి మరియు పేలోడ్ లాగింగ్ను బయట ఉంచండి.

రవాణాను కూడా తనిఖీ చేయండి. TCP కు పరిమితమైన ఫైర్వాల్ సేవ ఆ సంఖ్యలోని UDP వినేవారి గురించి ఏమీ చెప్పదు, కాబట్టి సరిగ్గా చదివిన నియమం కూడా ప్రతి ప్యాకెట్ను విసిరేయగలదు.

రూటింగ్ మరియు తిరిగి వచ్చే మార్గం

అంగీకరించబడినా ఇప్పటికీ మాయమయ్యే ప్యాకెట్ గమ్య మార్గాన్ని పరిశీలించాలి. ip route get ఒక చిరునామా కోసం ఎంచుకున్న మార్గాన్ని నివేదిస్తుంది, మరియు రివర్స్ పాత్ ఫిల్టరింగ్ ప్రధాన పట్టిక ఎప్పుడూ ఎంచుకోని ఇంటర్ఫేస్ ద్వారా వచ్చే సమాధానాన్ని విసిరేయగలదు. లక్షణం సరిగ్గా ఫైర్వాల్ విసిరినట్టే కనిపిస్తుంది, అందుకే ఈ తనిఖీ మరొక NAT నియమానికి ముందు వస్తుంది.

గేట్వేలో input గొలుసుకు బదులుగా ఫార్వార్డింగ్ మరియు forward గొలుసును తనిఖీ చేయండి. ఆపై దూరపు వైపు మూల చిరునామాను ఎలా చేరుకోవాలో తెలుసని నిర్ధారించండి, ఎందుకంటే పనిచేసే బయటకు వెళ్ళే మార్గంలో ఏమీ తిరిగి రాకపోతే రెండు సందర్భాల్లోనూ నిశ్శబ్దం.

నివేదిక ఏమి చెప్పాలి

ప్రతి మార్పుకు, మీరు పరీక్షించిన దశ, చదివిన సాక్ష్యం మరియు దాని రెండు వైపుల కౌంటర్ విలువను నమోదు చేయండి. ఆ నోట్ తోనే "ఇప్పుడు అది పనిచేస్తుంది" తదుపరి సమీక్షలో నిలిచి ఉంటుంది.

రెండు షార్ట్కట్లు నోట్ను నిజాయితీగా ఉంచుతాయి. హోస్ట్ ఎప్పుడూ విడిచిపెట్టని ప్యాకెట్ను వేరే చోటి నియమం విసిరేయలేదు, దూరపు వైపు కాన్ఫిగరేషన్ ఎంత నమ్మదగినదిగా కనిపించినా. బయలుదేరి తిరిగి వచ్చిన ప్యాకెట్ ప్రశ్నను నెట్వర్క్ పొరకు మించి కదిలిస్తుంది, అక్కడ ఫైర్వాల్ కౌంటర్లకు మీకు చెప్పడానికి ఇక ఏమీ లేదు.