VPN porti jimmi? Tinglovchi, bog'lash manzili yoki xostning xavfsizlik devori

VPN o'z portida hech narsaga javob bermaydi, va ikkita mumkin sabab qarama-qarshi tuzatishni talab qiladi: yo hech bir jarayon soketni ochmagan, yo soket mavjud va mashinalar orasida nimadir paketlarni to'xtatmoqda. Bitta buyruq bu savolning birinchi yarmini hal qiladi, shuning uchun u har qanday xavfsizlik devori qoidasidan oldin turadi. Quyidagi tartib har qadamda bitta tushuntirishni olib tashlaydi, yangi taxmin qo'shmaydi. Aynan ikkisi orasida taxmin qilish o'n daqiqalik diagnostikani butun oqshomga aylantiradi.

Serverga kira olasiz va mijoz skaner emas, haqiqiy profil deb faraz qiling. Ikkala faraz ham muhim, chunki umumiy zond protokolga xos savolga javob bera olmaydi.

Soket umuman bormi

Xizmatning o'zi haqida aytganidan boshlang: u ko'tarildimi va, foydaliroq, birinchi ishga tushish xatosi nima edi. Tahlil xatosi, yo'qolgan kalit yoki bog'lash xatosi tinglovchining umuman paydo bo'lishiga yo'l qo'ymaydi, va jarayon shu qadar jim chiqishi mumkinki, holat satri noaniq o'qiladi. O'zini faol deb bildirgan birlik o'zi isbot emas, chunki asosiy jarayon tirik bo'lishi mumkin, portni bog'lashi kerak bo'lgan komponent esa allaqachon taslim bo'lgan.

systemctl status openvpn-server@server --no-pager
journalctl -u openvpn-server@server -n 30 --no-pager
ss -lunp

Soketlar ro'yxati qolgan diagnostika tayanadigan fakt. Faqat portni emas, mahalliy manzil ustunini o'qing, chunki aynan shu ustunda loopback bog'lanishlari va noto'g'ri interfeys bog'lanishlari ko'rinadi. 127.0.0.1 da mavjud tinglovchi mukammal ishlaydi va baribir noutbukingizga ko'rinmaydi.

Soket qaysi manzil va qaysi oilada javob beradi

Ikkita xato mijoz tomondan bir xil ko'rinadi va "yetib bo'lmaydi" xabarlarining ko'pini tushuntiradi. Loopback manziliga bog'langan server boshqa mashinadan trafikni hech qachon qabul qilmaydi, va faqat IPv4 manziliga bog'langan server o'sha xostning IPv6 manzilini terayotgan mijozga hech qachon javob bermaydi. Siyosat haqida biror narsa taxmin qilishdan oldin soket jadvalidagi manzilni mijoz haqiqatan terayotgan manzil bilan harfma-harf solishtiring.

Ro'yxatni bitta port bilan cheklash xost bir nechta xizmat ishlatganda uni o'qish mumkin qiladi. sport filtri portni siz sinab ko'rayotgan transport bilan birga oladi:

ss -lun 'sport = :51820'
ss -ltnp 'sport = :1194'

Protokol ustuni butun javobni o'zgartiradi

Soket jadvali port bilan birga protokol bo'yicha ham indekslanadi, va bular ikkita mustaqil yozuv. 1194 da TCP ga javob beruvchi xizmat UDP 1194 da nimadir tinglayaptimi-yo'qmi haqida hech narsa demaydi, va mijoz har doim ulardan faqat bittasini ishlatadi. Server konfiguratsiyasi qaysi transportni tanlashini va mijoz profili qaysinisini yuborishini tasdiqlang, so'ng aynan o'sha satrni qidiring.

UDP ning ikkinchi qatlari bor: autentifikatsiya qilinmagan zond xizmat javob berishi shart bo'lgan xato emas. Portni jim deb bildirgan skan xizmatning mavjudligini emas, uning ehtiyotkorligini o'lchadi, shuning uchun haqiqiy mijoz va profil bilan sinang.

Bitta urinish, qarash uchun uch joy

Ruxsat etilgan mijozdan aynan bitta urinish qiling va vaqtni sekundgacha yozib oling. So'ng shu oraliq uchun uchta manbani o'qing: provayderning tarmoq qoidasi yoki konsoli, xostning xavfsizlik devori hisoblagichlari yoki jurnali va xizmatning o'z jurnali. Buni bir marta qilish uchta guvohlikni solishtirish mumkin qiladi va vaqt belgisi hech kim yozmagan urinishni takrorlashdan arzon tushadi.

Ikkita natija qarama-qarshi tomonga ishora qiladi. Agar hech bir paket xostga yetib bormagan bo'lsa, yo'l uni tashlab yubormoqda va tinglovchi ahamiyatsiz. Agar paket soketga yetib, xizmat uni rad etgan bo'lsa, yo'l joyida va javob protokolda, kriptografiyada yoki hisob ma'lumotlarida. Ulanishni allaqachon qabul qilgan xizmat uchun port ochish keyingi diagnostikani osonlashtirmaydi, qiyinlashtiradi.

Qoidani o'zgartirishdan oldin bosqichni nomlang

Boshlanayotgan muzokara va muvaffaqiyatsiz autentifikatsiya bitta nosozlik, uzatish tiqilib qolganda paydo bo'ladigan tunnel esa butunlay boshqa. Bosqichni birinchi nomlash tuzatishni tor ushlaydi: hisob ma'lumotlari muammosini xavfsizlik devori qoidasi hal qilmaydi, ma'lumot yo'li muammosini qayta ishga tushirish hal qilmaydi.

Savolga javob beradigan eng tor diagnostikadan foydalaning. Bitta portda administrator nazorati ostida vaqtincha paket kuzatish o'rinli vosita; butun xavfsizlik devorini o'chirish esa yo'q, chunki natijani biror narsaga bog'lash imkonsiz bo'lib qoladi. ss hujjatlari yuqorida ishlatilgan filtrlarni qamrab oladi va bu har qanday ushlashdan arzonroq birinchi qadam. Ikki shoxobchadan qaysinisini isbotlaganingizni yozib qo'ying, keyingi hodisa ma'lum javobdan boshlanadi.