OpenVPN istemciniz nobind mi yoksa sabit bir bağlantı noktası mı kullanmalı?

Tek bir satırla ayrılan iki profil, aynı ana bilgisayarda ikinci bir istemci başladığı anda farklı davranır. Biri nobind taşır ve çekirdeğin verdiği herhangi bir yerel bağlantı noktasını alır; diğeri 1194'ü ayırır ve ikinci örnek zaten kullanımda olan bir adresle ölür. Bu satır kaynak bağlantı noktasını kimin seçtiğini belirler, bu da profilin makinedeki başka herhangi bir şeyle birlikte var olup olamayacağını belirler. Üç soru bunu çözer ve ilki diğer ikisine ulaşmadan önce çoğu profile yanıt verir.

nobind gerçekte neyi atlar

Varsayılan olarak istemci aramadan önce yerel bir soket bağlar ve profil aksini söylemedikçe yerel bağlantı noktası 1194'tür. nobind bu ayırmayı kaldırır, böylece yığın bağlantı sırasında kullanılmayan bir bağlantı noktası tahsis eder. Bu bir istisnadır, varsayılan değil, ve satırı olmayan istemci 1194'ü tutar, bu yüzden sabitlenmemiş ikinci örnek tam da bu nedenle çakışır. Dağıtılan istemci profillerinin çoğu bu nedenle direktifi taşır ve bir örnek dosyanın bir şey yapması, mekanizmanın bunu varsayılan olarak yapmasıyla aynı değildir.

Değişmeyen şey uzak taraftır. Sunucu hâlâ profilin söylediği yerde dinler ve yapılandırmadaki hedef bağlantı noktası hâlâ hedef bağlantı noktasıdır. Dinamik bir kaynak bağlantı noktası kendi soketinizin dönüş adresini değiştirir, sunucununkinde hiçbir şeyi değiştirmez.

Hiçbir şeyi gizlemez de. Genel adresiniz yolun onu çevirdiği şeydir, paket hâlâ yerel ağdan geçer ve o ağı işleten her kimse hâlâ bir akış görür. nobind ne bir gizlilik özelliğidir ne de güvenlik duvarını atlatma yoludur.

Bunu belirleyen üç koşul

Bir soru diğer ikisini belirler, bu yüzden herhangi bir şeyi düzenlemeden önce ona yanıt verin. Eş dışarı ararsa kalan sorular yalnızca zaten verilmiş bir kararı inceltir. Eş gelen bağlantıları kabul ediyorsa, yerel bağlantı noktasının hiçbir ayarı onu ulaşılabilir kılmaz.

Bu eş bağlantıyı başlatıyor mu? Dışarı ararsa dinamik bir kaynak bağlantı noktası zararsızdır ve genellikle tercih edilir, çünkü yanıt aynı akışla geri döner. Gelen bağlantıları bekliyorsa, önünde bir şey bağlantı noktasını yayımlamadıkça dinamik bağlantı noktası onu ulaşılamaz kılar. O tek yanıt her istemci profilini her sunucu profilinden ayırır.

Yol kaynak bağlantı noktasına göre filtreliyor mu? Bilinen bir bağlantı noktası için yazılmış katı bir kural açık bir yerel bağlantı noktası zorunlu kılar ve profil hangi kuralı karşıladığını kaydetmelidir. Çoğu ağ yalnızca hedefe göre filtreler, bu yüzden bu koşul birinciden daha nadirdir. Geçerli olduğu yerde dinamik bağlantı noktası tercihini geçersiz kılar.

Birden çok örnek ana bilgisayarı paylaşıyor mu? Tek bir sabit bağlantı noktası ikisine hizmet edemez ve yeniden başlatılan bir örnek 1194'ü hâlâ kapanma durumunda bulabilir. Dinamik bağlantı noktaları başka hiçbir şeyi değiştirmeden bu çakışmayı ortadan kaldırır. Buna güvenle yanıt veremiyorsanız evet varsayın ve çekirdeğin seçmesine izin verin.

Sabitlenmiş bağlantı noktasının doğru yanıt olduğu yer

Bazı ağlar hem kaynak bağlantı noktasına hem de hedefe göre filtreler, bu yüzden bir operatör yalnızca bilinen bir bağlantı noktasından gelen trafiği geçiren bir kural yazmış olabilir. Yerel bağlantı noktasını sabitlemek o zaman doğrudur ve profil, karşıladığı kuralı adlandıran bir yorum taşımalıdır. Sunucu bağlantı noktasıyla simetri için sabitlemek bir neden değildir, çünkü iki sayının birbiriyle ilgisi yoktur. Sabitleme yalnızca bir şablonda bulunduğu için varsa, silin.

Aksi hâlde sabitlenmiş bir bağlantı noktası bela satın alır: bir makinedeki iki istemci ikisi de 1194'ü tutamaz, ve ikincisi profil yerine bağlantı noktasını işaret eden bir hatayla başarısız olur. Hızla yeniden başlayan bir konteyner aynı duvara çarpar. Onarım, dağıtılan profillerin zaten içerdiği direktiftir.

Sunucu ve istemci simetrik değildir

OpenVPN 2.6 kılavuzu ı nobind yanına lport yerleştirir, bu tek satırlık argümandır: bir seçenek çekirdeğin seçtiğini, diğeri sizin seçtiğinizi söyler. Dinamik bir yerel bağlantı noktası yalnızca dışarı arayan eş için çalışır, çünkü yanıt veren taraf bağlantı noktasını önceden bilemez. Bu yüzden bir istemci profilini sunucuya kopyalamak kimsenin ulaşamayacağı bir dinleyici üretir.

Birden çok ağ arabirimine sahip bir ana bilgisayarda adres, bağlantı noktasından ayrı bir karardır. Belirli bir yerel adresi bağlamak ve belirli bir bağlantı noktasını bağlamak iki farklı ayardır ve iki üst bağlantısı olan bir sunucu genellikle ikisini de sabitler. İkisini de sabitleyen istemci hiçbir yarar sağlamadan aynı katılığı üstlenmiştir.

Özet güvenlikle değil rollerle ilgilidir: dışarı arayan kendi kaynağı konusunda esnek olabilir, yanıt veren olamaz. Hiçbir seçim diğer ucun kimliğiniz hakkında öğrendiklerini değiştirmez. Bu yüzden direktif istemci örneklerinde görünür ve sunucu örneklerinde neredeyse hiç görünmez.

Çekirdeğin seçtiği bağlantı noktasını doğrulayın

Bağlandıktan sonra yapılandırmayı değil soketi okuyun, çünkü yapılandırma niyeti, soket ne olduğunu söyler. Kayda değer gerçekler yerel bağlantı noktası, uzak uç nokta ve hâlâ bir şeyin dinleyip dinlemediğidir. Bir Linux ana bilgisayarında üçü de bir komut uzaklıktadır.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

nobind kullanan istemci yüksek bir yerel bağlantı noktası ve yapılandırılmış uzak bağlantı noktasını gösterir, bu beklenen biçimdir. Sunucu, yapılandırılmış bağlantı noktasında dinleyen bir soket gösterir ve o soket yoksa profil ya dinleyici değildir ya da bağlanamadı. Akış varken paketler geri dönmüyorsa, profili düzenlemeden önce seçilen kaynak bağlantı noktasını yoldaki herhangi bir bağlantı noktası filtresiyle karşılaştırın. Bir şeyi değiştirin, yeniden bağlanın ve soketi tekrar okuyun.