OpenVPN chạy được ở nhà nhưng không chạy trên một mạng: UDP hay TCP?

Cùng một hồ sơ kết nối được từ nhà và dừng lại trên mạng khách sạn, khuôn viên hoặc chi nhánh. Thông tin đăng nhập không đổi, nên biến đáng quan tâm là đường đi: OpenVPN điều gì xảy ra với các gói tin trước khi nó đọc chúng. So sánh bốn nguyên nhân khả dĩ theo thứ tự có thể kiểm tra tốt hơn là đoán về chứng chỉ. Mỗi nguyên nhân để lại một dấu vết khác nhau, và chính dấu vết phân biệt chúng.

Giai đoạn nào thất bại cho biết phép so sánh nào quan trọng

Nhật ký máy khách đã ghi lại bạn đi được bao xa. Dòng nói rằng thương lượng khóa TLS không diễn ra trong thời hạn có nghĩa là gói đầu tiên đã rời đi và không có gì dùng được quay về, điều này chỉ vào đường đi. Việc từ chối chứng chỉ trông hoàn toàn khác: có phản hồi đến, rồi một lỗi xác minh cụ thể nêu lý do. Ghi lại dòng cuối trước vòng thử lại, vì đó là giá trị bạn so sánh giữa các mạng.

Bắt gói trong lúc thử lại, không phải sau đó. Trên máy khách, tcpdump -ni any udp port 1194 cho thấy có phản hồi nào quay về hay không. Lặp lại trên giao diện WAN của máy chủ bạn kiểm soát, điều này cho thấy các gói đó có tới được đầu xa hay không.

Lưu lượng một chiều là kết quả hữu ích nhất ở đây, vì nó biến một phàn nàn chập chờn thành hướng điều tra. Giữ các tệp bắt gói, vì báo cáo tiếp theo về cùng sự cố đóng lại dễ hơn bằng bằng chứng so với bằng mô tả.

Lọc UDP so với cổng đóng

Nhiều mạng truy cập coi UDP kéo dài là đáng ngờ, và một số ISP đồng ý như vậy. Một cổng đóng tạo ra sự im lặng y hệt từ phía máy khách. Khác biệt là tính chọn lọc: bộ lọc thường kén chọn đích hoặc cổng nào bị bỏ, trong khi cổng đóng từ chối mọi thứ hướng tới cổng đó.

Hồ sơ TCP trên cổng 443 là cách xử lý thông thường, vì nó giống một luồng HTTPS bình thường và đi qua hầu hết cổng captive và bộ lọc ra. Hai điều kiện phải đúng. Máy chủ phải lắng nghe với proto tcp-server và máy khách phải khớp với proto tcp-client, và nhà vận hành phải công bố điểm cuối thay thế đó. Viết lại một hồ sơ UDP đang chạy để nhận là TCP 443 không đi đến đâu khi phía bên kia không có ai lắng nghe.

Cổng đóng là vấn đề cấu hình, không phải vấn đề kiểm duyệt. Máy chủ sau router gia đình cần chuyển tiếp cổng UDP, và tường lửa của router phải cho phép. Khi cổng chưa bao giờ được cho phép, mọi máy khách đều thất bại ở bước thương lượng bất kể thông tin đăng nhập, và lỗi đi theo máy chủ chứ không theo mạng.

Các giao thức cũ so sánh kém trên trục này. PPTP cần TCP 1723 cộng GRE, và GRE là giao thức IP 47 chứ không phải cổng, nên không có chuyển tiếp cổng thông thường nào diễn đạt được điều đó.

Khi switch là thứ bỏ gói tin

Một switch được quản lý có thể cố ý bỏ đường hầm. Một số mẫu HPE và Aruba cung cấp điều khiển bảo vệ ngập lụt UDP, đôi khi được dán nhãn Prevent UDP Blat Attack, trong phần bảo mật nâng cao. Khi điều khiển đó hoạt động, máy chủ sau switch không trả lời gì và mọi máy khách hết thời gian theo cùng một cách. Tắt nó và lưu cấu hình đang chạy là toàn bộ việc sửa chữa, nhưng chỉ sau khi bạn xác định switch thực sự nằm trên đường đi.

Bằng chứng ngược là thứ phân biệt việc switch bỏ gói với việc nhà cung cấp chặn. Đọc bộ đếm giao diện và nhật ký bảo vệ ngập lụt trước khi mở phiếu với ISP. Router tiêu dùng có bảo vệ DoS hoặc ngập lụt hỏng theo cùng hình thức, và bất kỳ hộp trung gian nào có thời gian rảnh UDP ngắn cũng vậy. Một cái bắt tay không bao giờ hoàn tất gợi ý việc bỏ gói, trong khi một đường hầm chết sau vài phút im lặng gợi ý thời hạn.

Viết ra mọi thiết bị giữa máy khách và máy chủ trước khi thay đổi hồ sơ. Một bản sửa đặt ở lớp sai trông đúng cho đến mạng tiếp theo. Danh sách đó cũng cho kỹ sư tiếp theo biết nên nhìn vào đâu mà không lặp lại toàn bộ cuộc điều tra.

Một sự chồng lấn địa chỉ trông như lỗi DNS

Một mạng truy cập được đánh số trong 10.0.0.0/8 có thể chồng lấn với nhóm đường hầm, và trình phân giải thường sống trong nhóm đó. Khi máy tính xách tay nhận một địa chỉ như 10.184.178.50 với mặt nạ /8 trên Wi-Fi, mọi đích 10.x theo định nghĩa là cục bộ. Các gói tới 10.4.0.1 sau đó đi vào LAN, đường hầm vẫn sống và việc phân giải tên thất bại.

ip addr phơi bày sự chồng lấn ngay từ cái nhìn đầu, và ip route get 10.4.0.1 cho thấy gói tin thực sự sẽ được giao ở đâu. Vì triệu chứng nhìn thấy được là lỗi trình phân giải, điều này thường sống sót qua vài vòng thay đổi DNS.

Đánh số lại nhóm hoặc giữ mạng truy cập đó ngoài phạm vi. Không cài đặt phía máy khách nào khắc phục được sự chồng lấn.

Chọn giữa dự phòng TCP và sửa đường đi

Chọn dự phòng TCP khi bạn không kiểm soát đường đi và người dùng cần làm việc ngay hôm nay, và chấp nhận chi phí của nó: TCP trong TCP hoạt động kém trên liên kết có mất gói, và dự phòng cần một listener do bạn vận hành. Chọn sửa đường đi khi chặn nằm trên hạ tầng bạn sở hữu, vì một quy tắc tường lửa rẻ hơn listener thứ hai. Dù thế nào, hãy đi qua các lớp theo thứ tự: liên kết, vận chuyển ngoài, thương lượng, định tuyến trong. Giai đoạn thất bại trên mạng đó là sự thật duy nhất quan trọng.

Ghi lại kết quả theo mạng chứ không theo người dùng. Báo cáo tiếp theo về cùng lỗi sau đó bắt đầu từ một giai đoạn đã biết thay vì từ một giả thuyết chứng chỉ. Bản ghi đó cũng là thứ biện minh cho một listener thứ hai lâu dài, nếu có lúc nào cần.