VPN bağlantı noktası sessiz mi? Dinleyici, bağlama adresi veya ana makine güvenlik duvarı

VPN kendi bağlantı noktasında hiçbir yanıt vermiyor ve olası iki neden birbirine zıt onarımlar gerektiriyor: ya hiçbir süreç soketi açmadı, ya da soket var ve makineler arasında bir şey paketleri durduruyor. Tek bir komut bu sorunun ilk yarısını çözer, bu yüzden herhangi bir güvenlik duvarı kuralına dokunmadan önce gelir. Aşağıdaki sıra, bir başka tahmin eklemek yerine her adımda bir açıklamayı kaldırır. İkisi arasında tahmin yürütmek, on dakikalık bir tanılamayı bütün bir akşama çevirir.

Sunucuya giriş yapabildiğinizi ve istemcinin tarayıcı değil gerçek bir profil olduğunu varsayın. Her iki varsayım da önemlidir, çünkü genel bir sonda protokole özgü bir soruyu yanıtlayamaz.

Soket hiç var mı

Hizmetin kendisi hakkında söylediğiyle başlayın: açılıp açılmadığı ve daha faydalısı, ilk başlatma hatasının ne olduğu. Ayrıştırma hatası, eksik anahtar veya bağlama hatası dinleyicinin hiç oluşmasını engeller ve süreç o kadar sessiz çıkabilir ki durum satırı belirsiz okunur. Kendini etkin bildiren bir birim tek başına kanıt değildir, çünkü ana süreç yaşıyor olabilirken bağlantı noktasını bağlaması gereken bileşen çoktan pes etmiş olabilir.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Soket listesi, tanılamanın geri kalanının dayandığı olgudur. Yalnızca bağlantı noktasını değil yerel adres sütununu okuyun, çünkü loopback bağlamaları ve yanlış arayüze bağlamalar tam o sütunda görünür. 127.0.0.1 üzerinde var olan bir dinleyici kusursuz çalışır ve yine de dizüstü bilgisayarınıza görünmez.

Soket hangi adreste ve hangi ailede yanıt veriyor

İki hata istemci tarafından aynı görünür ve "erişilemiyor" bildirimlerinin çoğunu açıklar. Loopback adresine bağlı bir sunucu başka bir makineden asla trafik kabul etmez ve yalnızca bir IPv4 adresine bağlı sunucu, aynı ana makinenin IPv6 adresini çeviren istemciye asla yanıt vermez. İlke hakkında bir şey varsaymadan önce soket tablosundaki adresi istemcinin gerçekte çevirdiği adresle karakter karakter karşılaştırın.

Listeyi tek bir bağlantı noktasıyla sınırlamak, ana makine birkaç hizmet çalıştırdığında okunabilirliği korur. sport filtresi bağlantı noktasını test ettiğiniz taşıma ile birlikte alır:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Protokol sütunu bütün yanıtı değiştirir

Soket tablosu bağlantı noktasının yanı sıra protokole göre de dizinlenir ve bunlar iki bağımsız girdidir. 1194 üzerinde TCP'ye yanıt veren bir hizmet, UDP 1194 üzerinde bir şeyin dinleyip dinlemediği hakkında hiçbir şey söylemez ve istemci her zaman yalnızca birini kullanır. Sunucu yapılandırmasının hangi taşımayı seçtiğini ve istemci profilinin hangisini gönderdiğini doğrulayın, sonra tam o satırı arayın.

UDP'nin ikinci bir kıvrımı var: kimliği doğrulanmamış bir sonda, hizmetin yanıtlamak zorunda olduğu bir hata değildir. Bağlantı noktasını sessiz olarak bildiren bir tarama, hizmetin kullanılabilirliğini değil ölçülülüğünü ölçmüştür, bu yüzden gerçek istemci ve profille test edin.

Tek deneme, bakılacak üç yer

Onaylanmış bir istemciden tam olarak bir deneme yapın ve saati saniyesine kadar yazın. Ardından o zaman aralığı için üç kaynak okuyun: sağlayıcının ağ kuralı veya konsolu, ana makinenin güvenlik duvarı sayaçları veya günlüğü ve hizmetin kendi günlüğü. Bunu bir kez yapmak, üç anlatımı karşılaştırılabilir kılan şeydir ve kimsenin zaman damgasını kaydetmediği bir denemeyi tekrarlamaktan daha ucuza gelir.

İki sonuç zıt yönleri gösterir. Ana makineye hiçbir paket ulaşmadıysa, yol onu düşürüyordur ve dinleyici konu dışıdır. Paket sokete ulaştı ve hizmet reddettiyse, yol iyidir ve yanıt protokolde, şifrelemede veya kimlik bilgilerindedir. Zaten bir bağlantıyı kabul etmiş bir hizmet için bağlantı noktası açmak sonraki tanılamayı kolaylaştırmaz, zorlaştırır.

Kuralı değiştirmeden önce aşamayı adlandırın

Başlayan bir müzakere ve başarısız olan bir kimlik doğrulama tek bir arızadır; iletim tıkanırken kurulan bir tünel ise tamamen başkadır. Aşamayı önce adlandırmak onarımı dar tutar: kimlik bilgisi sorunu bir güvenlik duvarı kuralıyla çözülmez, veri yolu sorunu da yeniden başlatmayla çözülmez.

Soruyu yanıtlayan en dar tanılamayı kullanın. Tek bir bağlantı noktasında yönetici denetimi altında geçici paket gözlemi makul bir araçtır; tüm güvenlik duvarını devre dışı bırakmak değildir, çünkü sonucu bir nedene atfetmek imkânsız hale gelir. ss belgeleri yukarıda kullanılan filtreleri kapsar ve herhangi bir yakalamadan daha ucuz bir ilk adımdır. İki daldan hangisini kanıtladığınızı not edin; sonraki olay bilinen bir yanıttan başlar.