OpenVPN mijozi nobind yoki qat'iy portdan foydalanishi kerakmi?

Bir satr bilan farq qiladigan ikkita profil xuddi shu hostda ikkinchi mijoz boshlangan paytdayoq boshqacha ishlaydi. Biri nobind saqlaydi va yadro bergan har qanday mahalliy portni oladi; ikkinchisi 1194 ni zahiraga qo'yadi, ikkinchi nusxa esa allaqachon ishlatilgan manzil bilan o'ladi. O'sha satr manba portni kim tanlashini hal qiladi, bu esa o'z navbatida profil mashinadagi boshqa narsa bilan birga mavjud bo'la olishini hal qiladi. Uch savol buni hal qiladi, birinchisi esa qolgan ikkitasiga yetib bormasdan oldin ko'pchilik profillarga javob beradi.

nobind aslida nimani o'tkazib yuboradi

Odatiy holda mijoz qo'ng'iroqdan oldin mahalliy soketni bog'laydi, profil boshqacha aytmasa mahalliy port 1194 bo'ladi. nobind o'sha zahirani olib tashlaydi, shuning uchun stack ulanish paytida foydalanilmagan port ajratadi. Bu odatiy emas, istisno, satrsiz mijoz 1194 ni ushlab turadi, shuning uchun qat'iylanmagan ikkinchi nusxa aynan to'qnashadi. Tarqatiladigan mijoz profillarining ko'pchiligi shu sababdan bu ko'rsatmani saqlaydi, namuna faylning biror narsa qilishi mexanizm buni odatiy holda qilishi bilan bir xil emas.

O'zgarmaydigan narsa uzoq tomon. Server hali ham profil aytgan joyda tinglaydi, konfiguratsiyadagi manzil porti hali ham manzil porti. Dinamik manba port o'z soketingizning qaytish manzilini o'zgartiradi, servernikiga hech narsa qilmaydi.

U hech narsani yashirmaydi ham. Sizning ommaviy manzilingiz yo'l uni qanday o'girsa, shu, paket hali ham mahalliy tarmoqdan o'tadi, o'sha tarmoqni boshqaradigan esa hali ham oqimni ko'radi. nobind na maxfiylik xususiyati, na xavfsizlik devorini chetlab o'tish yo'li.

Buni hal qiladigan uch shart

Bir savol qolgan ikkitasini hal qiladi, shuning uchun biror narsani tahrirlashdan oldin unga javob bering. Agar sherik tashqariga qo'ng'iroq qilsa, qolgan savollar faqat allaqachon qabul qilingan qarorni aniqlashtiradi. Agar u kiruvchi ulanishlarni qabul qilsa, mahalliy portni hech qanday sozlash uni yetib boriladigan qilmaydi.

Bu sherik ulanishni boshlaydimi? Agar tashqariga qo'ng'iroq qilsa, dinamik manba port zararsiz va odatda afzal, chunki javob o'sha oqim bilan qaytadi. Agar kiruvchi ulanishlarni kutsa, oldinda biror narsa portni e'lon qilmasa, dinamik port uni yetib bo'lmaydigan qiladi. O'sha bitta javob har bir mijoz profilini har bir server profilidan ajratadi.

Yo'l manba port bo'yicha filtrlaydimi? Bitta ma'lum port uchun yozilgan qat'iy qoida aniq mahalliy portni talab qiladi, profil esa qaysi qoidani bajarishini yozishi kerak. Ko'pchilik tarmoqlar faqat manzil bo'yicha filtrlaydi, shuning uchun bu shart birinchisidan kam uchraydi. Qo'llaniladigan joyda u dinamik port afzalligidan ustun turadi.

Bir nechta nusxa hostni bo'lishadimi? Bitta qat'iy port ulardan ikkitasiga xizmat qila olmaydi, qayta ishga tushirilgan nusxa esa 1194 ni hali yopilish holatida topishi mumkin. Dinamik portlar boshqa hech narsani o'zgartirmasdan bu to'qnashuvni olib tashlaydi. Agar bunga ishonch bilan javob bera olmasangiz, ha deb hisoblang va yadroga tanlashga ruxsat bering.

Qat'iylangan port to'g'ri javob bo'ladigan joy

Ba'zi tarmoqlar manzil bilan birga manba port bo'yicha ham filtrlaydi, shuning uchun operator faqat bitta ma'lum portdan trafik o'tkazadigan qoida yozgan bo'lishi mumkin. Unda mahalliy portni qat'iylash to'g'ri, profil esa bajarilgan qoidani nomlaydigan izohni saqlashi kerak. Server porti bilan simmetriya uchun qat'iylash sabab emas, chunki bu ikki raqamning bir-biriga aloqasi yo'q. Agar qat'iylash faqat shablonda bo'lgani uchun mavjud bo'lsa, uni o'chiring.

Aks holda qat'iylangan port muammo sotib oladi: bitta mashinadagi ikki mijoz ikkalasi ham 1194 ni ushlab turolmaydi, ikkinchisi esa profilga emas, portga ishora qiluvchi xato bilan muvaffaqiyatsiz bo'ladi. Tez qayta ishga tushadigan konteyner o'sha devorga uriladi. Tuzatish tarqatilgan profillarda allaqachon bo'lgan ko'rsatma.

Server va mijoz simmetrik emas

OpenVPN 2.6 qo'llanmasi ni nobind yoniga lport qo'yadi, bu bir satrdagi dalil: bir variant yadro tanlaydi deydi, ikkinchisi siz tanlaysiz deydi. Dinamik mahalliy port faqat tashqariga qo'ng'iroq qiladigan sherik uchun ishlaydi, chunki javob beruvchi tomon portni oldindan bilolmaydi. Shuning uchun mijoz profilini serverga nusxalash hech kim yetib bora olmaydigan tinglovchini yaratadi.

Bir nechta tarmoq interfeysi bo'lgan hostda manzil portdan alohida qaror. Muayyan mahalliy manzilni bog'lash va muayyan portni bog'lash ikki xil sozlama, ikki yuqori kanalli server odatda ikkalasini ham qat'iylaydi. Ikkalasini ham qat'iylagan mijoz hech qanday foydasiz o'sha qattiqlikni olgan.

Xulosa rollar haqida, xavfsizlik haqida emas: tashqariga qo'ng'iroq qiluvchi o'z manbasi borasida moslashuvchan bo'la oladi, javob beruvchi esa yo'q. Hech bir tanlov boshqa tomon sizning shaxsingiz haqida biladigan narsani o'zgartirmaydi. Shuning uchun ko'rsatma mijoz namunalarida uchraydi va server namunalarida deyarli hech qachon uchramaydi.

Yadro tanlagan portni tekshiring

Ulangandan keyin konfiguratsiyani emas, soketni o'qing, chunki konfiguratsiya niyatni, soket nima bo'lganini bildiradi. Yozib olishga arziydigan faktlar mahalliy port, uzoq oxirgi nuqta va hali biror narsa tinglayotgani. Linux hostda uchtasi ham bitta buyruq masofasida.

ss -unp | grep openvpn
ss -lunp | grep openvpn
sudo lsof -nP -i | grep openvpn

nobind bilan mijoz yuqori mahalliy port va sozlangan uzoq portni ko'rsatadi, bu kutilgan shakl. Server o'z sozlangan portida tinglovchi soketni ko'rsatadi, agar bu soket bo'lmasa, profil yo tinglovchi emas, yo bog'lana olmadi. Oqim bor bo'lsa-da paketlar qaytmasa, profilni tahrirlashdan oldin tanlangan manba portni yo'ldagi har qanday port filtri bilan solishtiring. Bir narsani o'zgartiring, qayta ulaning va soketni yana o'qing.