OpenVPN uyda ishlaydi, lekin bitta tarmoqda ishlamaydi: UDP yoki TCP?

Xuddi shu profil uydan ulanadi va mehmonxona, kampus yoki filial tarmog'ida to'xtaydi. Hisob ma'lumotlari o'zgarmadi, shuning uchun qiziq o'zgaruvchi — yo'l: OpenVPN paketlarni o'qishidan oldin ular bilan nima sodir bo'ladi. To'rtta mumkin sababni sinash mumkin bo'lgan tartibda solishtirish sertifikatlar haqida taxmin qilishdan yaxshiroq. Har biri boshqa iz qoldiradi va iz ularni ajratadi.

Qaysi bosqich muvaffaqiyatsiz bo'lgani qaysi solishtirish muhimligini ko'rsatadi

Mijoz jurnali qanchalik uzoqqa borganingizni allaqachon yozadi. TLS kalit kelishuvi vaqt chegarasida sodir bo'lmadi degan satr birinchi paket chiqqanini va foydali javob qaytmaganini bildiradi, bu esa yo'lga ishora qiladi. Sertifikat rad etilishi butunlay boshqacha ko'rinadi: javob keladi, so'ngra aniq tekshiruv xatosi sababni nomlaydi. Qayta urinish tsiklidan oldingi oxirgi satrni yozib oling, chunki tarmoqlar orasida solishtiradigan qiymat shu.

Keyin emas, qayta urinayotganda yozib oling. Mijozda tcpdump -ni any udp port 1194 biron javob qaytadimi-yo'qmi ko'rsatadi. O'zingiz boshqaradigan serverning WAN interfeysida takrorlang, bu paketlar uzoq uchga yetadimi-yo'qmi oshkor qiladi.

Bir tomonlama trafik bu yerda mavjud eng foydali natija, chunki u vaqti-vaqti bilan keladigan shikoyatni tekshiruv yo'nalishiga aylantiradi. Yozib olish fayllarini saqlang, chunki o'sha muammoning keyingi xabari tavsifdan ko'ra dalil bilan yopilishi osonroq.

UDP filtrlash va yopiq port

Ko'p kirish tarmoqlari uzoq davom etuvchi UDP ni shubhali deb biladi, ba'zi ISP lar ham rozi. Yopiq port mijoz tomonidan xuddi shunday sukunatni keltiradi. Farq tanlovlilikda: filtr qaysi manzillar yoki portlarni tashlashida tanlovchan, yopiq port esa o'sha portga yo'naltirilgan hamma narsani rad etadi.

443 portidagi TCP profili odatiy yechim, chunki u oddiy HTTPS oqimiga o'xshaydi va ko'p captive portallar va chiqish filtrlari orqali o'tadi. Ikki shart bajarilishi kerak. Server proto tcp-server bilan tinglashi, mijoz proto tcp-client bilan mos kelishi va operator o'sha muqobil endpointni e'lon qilishi kerak. Ishlaydigan UDP profilini TCP 443 deb qayta yozish narigi tomonda hech kim tinglamasa hech narsa bermaydi.

Yopiq port — bu senzura emas, konfiguratsiya muammosi. Uy routerining orqasidagi serverga UDP portini yo'naltirish kerak, routerning xavfsizlik devori bunga ruxsat berishi lozim. Portga hech qachon ruxsat berilmagan bo'lsa, hisob ma'lumotlaridan qat'i nazar har bir mijoz muzokarada muvaffaqiyatsiz bo'ladi va nosozlik tarmoqqa emas, serverga ergashadi.

Eski protokollar bu o'qda yomon ko'rinadi. PPTP ga TCP 1723 plyus GRE kerak, GRE esa port emas, IP protokoli 47, shuning uchun oddiy port yo'naltirish uni ifodalay olmaydi.

Paketlarni kommutator tashlab yuborayotganda

Boshqariladigan kommutator tunnelni ataylab tashlashi mumkin. Ba'zi HPE va Aruba modellari kengaytirilgan xavfsizlik bo'limida UDP toshqin himoyasi boshqaruvini taklif qiladi, ba'zan Prevent UDP Blat Attack deb belgilanadi. Bu boshqaruv faol bo'lgach, kommutator orqasidagi server hech narsaga javob bermaydi va har bir mijoz bir xil tarzda vaqt tugashiga uchraydi. Uni o'chirish va ishlab turgan konfiguratsiyani saqlash butun tuzatishdir, lekin kommutator haqiqatan ham yo'lda ekanini aniqlagandan keyingina.

Qarshi dalillar kommutatorning tashlashini provayder blokidan ajratadi. ISP ga murojaat ochishdan oldin interfeys hisoblagichlari va toshqin himoyasi jurnalini o'qing. DoS yoki toshqin himoyasi bo'lgan iste'molchi routerlari ham xuddi shu shaklda muvaffaqiyatsiz bo'ladi, qisqa UDP bo'sh turish chegarasi bo'lgan har qanday oraliq qurilma ham. Hech qachon tugamaydigan qo'l berib ko'rishish tashlashga ishora qiladi, bir necha daqiqa sukunatdan keyin o'ladigan tunnel esa vaqt chegarasiga ishora qiladi.

Profilni o'zgartirishdan oldin mijoz va server orasidagi har bir qurilmani yozib chiqing. Noto'g'ri qatlamda qo'llangan tuzatish keyingi tarmoqqacha to'g'ri ko'rinadi. Bu ro'yxat keyingi muhandisga butun tekshiruvni takrorlamasdan qayerga qarashni ham aytadi.

DNS nosozligiga o'xshaydigan manzil qoplamasi

10.0.0.0/8 ichida raqamlangan kirish tarmog'i tunnel hovuzi bilan qoplanishi mumkin va resolver odatda shu hovuz ichida yashaydi. Noutbuk Wi-Fi da 10.184.178.50 kabi manzilni /8 niqob bilan olganda, har bir 10.x manzil ta'rifga ko'ra mahalliy bo'ladi. 10.4.0.1 uchun paketlar keyin LAN ga ketadi, tunnel ishlab turadi va nomlarni hal qilish muvaffaqiyatsiz bo'ladi.

ip addr qoplanishni bir qarashda ochib beradi, ip route get 10.4.0.1 esa paket haqiqatan qayerga yetkazilishini ko'rsatadi. Ko'rinadigan alomat resolver nosozligi bo'lgani uchun, bu ko'pincha bir necha davr DNS o'zgarishlaridan omon qoladi.

Hovuzni qayta raqamlang yoki o'sha kirish tarmog'ini qamrovdan tashqarida saqlang. Hech qanday mijoz tomonidagi sozlama qoplanishdan tiklanmaydi.

TCP zaxirasi va yo'lni tuzatish orasidagi tanlov

Yo'lni boshqarmasangiz va foydalanuvchilarga bugun ishlash kerak bo'lsa, TCP zaxirasini tanlang va uning xarajatlarini qabul qiling: TCP ichidagi TCP yo'qotishli liniyalarda yomon tutadi va zaxira siz boshqaradigan listener talab qiladi. Blok o'zingizga tegishli infratuzilmada bo'lsa, yo'lni tuzatishni tanlang, chunki xavfsizlik devori qoidasi ikkinchi listenerdan arzonroq. Qanday bo'lsa ham, qatlamlarni tartib bilan o'ting: ulanish, tashqi transport, muzokara, ichki marshrutlash. O'sha tarmoqda muvaffaqiyatsiz bo'lgan bosqich muhim bo'lgan yagona faktdir.

Natijani foydalanuvchi bo'yicha emas, tarmoq bo'yicha yozib boring. O'sha nosozlikning keyingi xabari keyin sertifikat nazariyasidan emas, ma'lum bosqichdan boshlanadi. O'sha yozuv, agar kerak bo'lsa, doimiy ikkinchi listenerni ham oqlaydi.