TCP qayta o'rnatilishi VPN bloklanayotganini isbotlamaydi

Mijoz jurnalida «ulanish qayta o'rnatildi, qayta ishga tushirilmoqda» ko'rinadi va xulosa dalildan oldin keladi. Kimdir tarmoq VPNni bloklaydi, yoki sertifikat noto'g'ri, yoki muayyan davlat aralashmoqda deb qaror qiladi. Qayta o'rnatish ulanishni tugatuvchi TCP paketi bo'lib, jurnal satri mijozingiz bittasini olganini qayd etadi. U uni yuborgan qurilmani ham, sababni ham nomlamaydi.

Qayta o'rnatish — paket, hukm emas

TCP qayta o'rnatishni qayta ishlashni belgilaydi: RST bayrog'li segment ulanishni darhol tugatadi. Qabul qiluvchi muzokara qilmaydi, qayta urinmaydi va nima uchun deb so'ramaydi. U qayta o'rnatish haqida xabar berib, davom etadi.

Mijoz biladigan narsa shu. RST serverdan, proksidan, xavfsizlik devoridan yoki holatini yo'qotgan yuk balanslagichidan kelgan bo'lishi mumkin.

Manbani aniqlash alohida mashq. Tutib olishda ko'rinadigan manba manzili jismoniy kelib chiqishning dalili emas va uning orqasidagi siyosat qarori haqida hech narsa demaydi. Oraliq qurilmalar manzillarni soxtalashtirishi mumkin, holatga ega qurilmalar esa qasddan emas, vaqt tugashi bilan qayta o'rnatishi mumkin. Qayta o'rnatishni hukm deb qabul qilish haqiqat aniqlanadigan qismni o'tkazib yuboradi.

Qaysi ulanish qayta o'rnatilganini tasdiqlang

Avval faol profil haqiqatan TCP ishlatishini tekshiring. UDP tunnelda qayta o'rnatish ma'nosiz, HTTP proksi jurnali esa VPNning o'zidan boshqa TCP qismiga tegishli bo'lishi mumkin.

Manzilni, portni, urinish vaqtini va mijoz yetgan bosqichni yozib oling.

Bosqich eng foydali maydon. TLS qo'l berib ko'rishish paytidagi qayta o'rnatish bir gumondorlar guruhini ko'rsatadi; autentifikatsiyadan keyingi qayta o'rnatish boshqasini. Bosqichsiz har qanday nazariya mos keladi.

Yo'lning ikki uchini solishtiring

Agar serverni o'zingiz boshqarsangiz, xuddi shu urinish uchun uning hodisalarini solishtiring. U ulanishni qabul qildimi? Uni ataylab yopdimi? Javob bir chegaradan chiqib, keyingisiga hech qachon yetmadimi?

Imkon bo'lsa, mijozda ham, serverda ham tutib oling. Mijozda ko'rinib, serverda ko'rinmagan qayta o'rnatish serverda paydo bo'lmagan.

Ikkala yo'nalishdagi RST segmentlarini kuzating:

sudo tcpdump -ni any 'tcp[tcpflags] & tcp-rst != 0' -c 20
ss -tnp | grep 198.51.100.20

Nazorat qilinadigan solishtirish bilan toraytiring

Ikkinchi ruxsat etilgan tarmoq nosozlik mijozga yoki yo'lga ergashishini aytishi mumkin. Agar xuddi shu profil boshqa joyda ishlasa, mijoz konfiguratsiyasi ehtimol joyida va o'zgaruvchi — yo'l.

Bu hali bitta aniq oraliq qurilmani aniqlamaydi. Bu qamrovni bitta marshrutgacha toraytiradi, bu foydali va halol natija.

«Bu yo'l muvaffaqiyatsiz» va «bu nomlangan ishtirokchi sabab bo'ldi» o'rtasidagi farqni saqlang. Birinchisini sinash mumkin; ikkinchisini odatda bitta mijozdan sinab bo'lmaydi.

Ishonch sozlamalarini o'zgartirmasdan tuzatishni tekshiring

TLS tekshiruvini o'chirmang, hisob ma'lumotlarini qayta yaratmang va bitta qayta o'rnatish satriga asoslanib bloklash siyosatini e'lon qilmang. Bu o'zgarishlarning har biri sinovdan o'tkazilayotgan tizimni o'zgartiradi va keyingi solishtirishni ma'nosiz qiladi.

Aniqlangan komponentni uning egasi orqali tuzating, so'ng xuddi shu profilni va xuddi shu kuzatuvni takrorlang:

openvpn --config client.ovpn --verb 4
sudo tcpdump -ni any 'host 198.51.100.20 and tcp' -c 40

Foydali natija — yaxshiroq lokalizatsiya qilingan nosozlik, ishonchliroq hikoya emas. Proksi tuzatilgandan keyin qayta o'rnatish yo'qolsa, sababingiz bor. U boshqa bosqichga o'tsa, yo'l haqida biror narsa o'rgandingiz. Qanday bo'lmasin, dalil ikkinchi odamning o'qishiga bardosh berishi kerak. Kuzatganingizni yozing, xulosa qilganingizni emas.