Dapat bang gumamit ang iyong OpenVPN client ng nobind o ng fixed port?

Dalawang profile na nagkakaiba sa isang linya ay kumikilos nang iba sa sandaling magsimula ang pangalawang client sa parehong host. Ang isa ay may nobind at kumukuha ng anumang lokal na port na ibibigay ng kernel; ang isa ay nagreserba ng 1194, at ang pangalawang instance ay namamatay na may address na ginagamit na. Ang linyang iyon ang nagtatakda kung sino ang pumipili ng source port, na siyang nagtatakda kung ang profile ay maaaring mamuhay kasama ng anupaman sa makina. Tatlong tanong ang nagtatakda nito, at ang una ay sumasagot sa karamihan ng profile bago mo maabot ang dalawa pa.

Ano ang talagang nilalaktawan ng nobind

Sa default ay nagbibigkis ang client ng lokal na socket bago tumawag, at ang lokal na port ay 1194 maliban kung sinabi ng profile ang iba. nobind tinatanggal ang reserbang iyon, kaya naglalaan ang stack ng hindi ginagamit na port sa oras ng koneksyon. Ito ay eksepsyon, hindi default, at ang client na walang linya ay humahawak ng 1194, kaya eksaktong nagbabanggaan ang hindi naka-pin na pangalawang instance. Karamihan ng mga ipinamahaging profile ng client ay may ganitong direktiba dahil doon, at ang isang halimbawang file na gumagawa ng isang bagay ay hindi katulad ng mekanismong ginagawa iyon bilang default.

Ang hindi nagbabago ay ang malayong panig. Nakikinig pa rin ang server kung saan sinasabi ng profile na nakikinig ito, at ang destinasyong port sa configuration ay destinasyong port pa rin. Ang dinamikong source port ay nagbabago ng return address ng iyong sariling socket at wala sa socket ng server.

Wala rin itong itinatago. Ang pampublikong address mo ay ang isinasalin ng landas, dumadaan pa rin ang packet sa lokal na network, at ang sinumang nagpapatakbo ng network na iyon ay nakakakita pa rin ng daloy. nobind ay hindi tampok ng privacy at hindi pag-iwas sa firewall.

Tatlong kondisyon na nagtatakda nito

Isang tanong ang nagtatakda sa dalawa pa, kaya sagutin ito bago mag-edit ng anuman. Kung tumatawag palabas ang kapareha, ang natitirang tanong ay nagpapino lamang ng desisyong nagawa na. Kung tumatanggap ito ng mga papasok na koneksyon, walang pagsasaayos ng lokal na port ang magpapabukas nito.

Ang kaparehang ito ba ang nagpapasimula ng koneksyon? Kung tumatawag ito palabas, ang dinamikong source port ay walang panganib at karaniwang mas mabuti, dahil bumabalik ang sagot sa parehong daloy. Kung naghihintay ito ng papasok na koneksyon, ginagawang hindi maabot ng dinamikong port maliban kung may naglathala ng port sa harap. Ang nag-iisang sagot na iyon ay naghihiwalay sa bawat profile ng client mula sa bawat profile ng server.

Sinasala ba ng landas ang source port? Ang mahigpit na tuntuning isinulat para sa isang kilalang port ay nagpipilit ng tahasang lokal na port, at dapat itala ng profile kung aling tuntunin ang natutugunan nito. Karamihan ng network ay nagsasala lamang sa destinasyon, kaya mas bihira ang kondisyong ito kaysa sa una. Kung saan ito naaangkop, nilalampasan nito ang kagustuhan para sa dinamikong port.

Nagbabahagi ba ang ilang instance ng host? Ang isang fixed port ay hindi makapaglilingkod sa dalawa sa kanila, at ang na-restart na instance ay maaaring makakita ng 1194 na nasa estado pa ng pagsasara. Tinatanggal ng mga dinamikong port ang salungatan na iyon nang walang binabago. Kung hindi mo ito masagot nang may kumpiyansa, ipagpalagay na oo at hayaang pumili ang kernel.

Kung saan ang nakapirming port ang tamang sagot

Ang ilang network ay nagsasala sa source port at destinasyon, kaya maaaring may naisulat na tuntunin ang operator na nagpapalusot lamang ng trapik mula sa isang kilalang port. Ang pag-pin sa lokal na port ay tama noon, at ang profile ay dapat may komentong nagpapangalan sa tuntuning natutugunan nito. Ang pag-pin para sa simetrya sa port ng server ay hindi dahilan, dahil walang kaugnayan ang dalawang numero sa isa't isa. Kung ang pin ay umiiral lamang dahil mayroon ito sa template, tanggalin ito.

Kung hindi, ang nakapirming port ay bumibili ng gulo: dalawang client sa isang makina ay hindi maaaring parehong humawak ng 1194, at ang pangalawa ay nabigo sa error na tumuturo sa port at hindi sa profile. Ang container na mabilis mag-restart ay bumabangga sa parehong pader. Ang pag-aayos ay ang direktibang taglay na ng mga ipinamahaging profile.

Hindi simetriko ang server at client

manwal ng OpenVPN 2.6 inilalagay nobind sa tabi ng lport, na siyang argumento sa isang linya: sinasabi ng isang opsyon na pumipili ang kernel, sinasabi ng isa na ikaw ang pumipili. Ang dinamikong lokal na port ay gumagana lamang para sa kaparehang tumatawag palabas, dahil hindi malalaman ng panig na sumasagot ang port nang maaga. Kaya ang pagkopya ng profile ng client papunta sa server ay lumilikha ng tagapakinig na walang makakaabot.

Sa host na may ilang interface ng network, ang address ay hiwalay na desisyon sa port. Ang pagbigkis ng partikular na lokal na address at pagbigkis ng partikular na port ay dalawang magkaibang setting, at ang server na may dalawang uplink ay karaniwang nag-pin sa dalawa. Ang client na nag-pin sa dalawa ay kinuha ang parehong tigas na walang anumang pakinabang.

Ang buod ay tungkol sa mga papel at hindi sa seguridad: ang tumatawag palabas ay maaaring maging flexible sa sarili nitong pinagmulan, at ang sumasagot ay hindi. Wala sa mga pagpipilian ang nagbabago sa natututunan ng kabilang dulo tungkol sa iyong pagkakakilanlan. Kaya lumilitaw ang direktiba sa mga halimbawa ng client at halos hindi kailanman sa mga halimbawa ng server.

I-verify ang port na pinili ng kernel

Pagkatapos kumonekta, basahin ang socket at hindi ang configuration, dahil sinasabi ng configuration ang layunin at sinasabi ng socket ang nangyari. Ang mga katotohanang dapat itala ay ang lokal na port, ang malayong endpoint, at kung may nakikinig pa. Sa host na Linux ang tatlo ay isang utos ang layo.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

Isang client na may nobind nagpapakita ng mataas na lokal na port at ng naka-configure na malayong port, na siyang inaasahang hugis. Ang server ay nagpapakita ng socket na nakikinig sa naka-configure nitong port, at kung nawawala ang socket na iyon, ang profile ay hindi tagapakinig o nabigo itong magbigkis. Kapag may daloy pero walang bumabalik na packet, ihambing ang piniling source port sa anumang filter ng port sa landas bago i-edit ang profile. Baguhin ang isang bagay, kumonekta muli, at basahin muli ang socket.