主页 / unix / 问题 / 417113
Accepted
Allison
Asked: 2018-01-15 13:07:48 +0800 CST

OpenVPN TLS 握手在 P_CONTROL_HARD_RESET_SERVER_V2 挂起（未收到）

  • 772

我有一个 UDP OpenVPN 服务器（在 TAP 模式下运行，但这无关紧要）。连接成功启动并通过 TLS-AUTH (HMAC)，但它卡在那里。我在服务器日志中看到以下日志重复：

Sun Jan 14 13:34:10 2018 us=104130 <CLIENT>:59975 UDPv4 READ [54] from [AF_INET]<CLIENT>:59975: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #1 ] [ ] pid=0 DATA len=0
Sun Jan 14 13:34:10 2018 us=104252 <CLIENT>:59975 UDPv4 WRITE [66] to [AF_INET]<CLIENT>:59975: P_CONTROL_HARD_RESET_SERVER_V2 kid=0 pid=[ #1 ] [ 0 ] pid=0 DATA len=0
Sun Jan 14 13:34:12 2018 us=524356 <CLIENT>:59975 UDPv4 WRITE [54] to [AF_INET]<CLIENT>:59975: P_CONTROL_HARD_RESET_SERVER_V2 kid=0 pid=[ #2 ] [ ] pid=0 DATA len=0
Sun Jan 14 13:34:12 2018 us=650416 <CLIENT>:59975 UDPv4 READ [54] from [AF_INET]<CLIENT>:59975: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #2 ] [ ] pid=0 DATA len=0
....

但在客户端我有：

2018-01-14 13:34:56 us=989963 UDPv4 WRITE [54] to [AF_INET]<SERVER>:1194: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #2 ] [ ] pid=0 DATA len=0
2018-01-14 13:35:00 us=476619 UDPv4 WRITE [54] to [AF_INET]<SERVER>:1194: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #3 ] [ ] pid=0 DATA len=0
2018-01-14 13:35:08 us=911249 UDPv4 WRITE [54] to [AF_INET]<SERVER>:1194: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #4 ] [ ] pid=0 DATA len=0
2018-01-14 13:35:24 us=86742 UDPv4 WRITE [54] to [AF_INET]<SERVER>:1194: P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 pid=[ #5 ] [ ] pid=0 DATA len=0

这里发生了什么？并不是说有防火墙阻止了这一点，我可以使用其他服务通过此端口正确通信（运行 netcat 服务器，双向通信正常工作）。

openvpn

1 个回答

  1. Best Answer

    openvpn 邮件列表上的对话将我推向了正确的方向。

    看起来你有一个单向链接。客户端可以与服务器通信，但服务器不能与客户端通信。所以在服务器 -> 客户端方向上发生了某种阻塞或误导。
    客户端防火墙可能吗？

    （强调我的）

    我的解决方案是将该行添加local 192.168.1.X到我的服务器配置文件中。根据 OpenVPN 文档：

    --本地主机

    本地主机名或 IP 地址。如果指定，OpenVPN 将仅绑定到该地址。如果未指定，OpenVPN 将绑定到所有接口。

    显然，这是一个网络问题，但这是一个可以在不解决根本问题的情况下解决的问题。对我来说，问题是我如何配置我的桥接接口和我的分接接口。我把它搞砸了，OpenVPN试图通过一个无法将其路由到目的地的接口将其响应数据包路由回，因此通过指定要绑定到它的特定接口只会将其发送出接口与给定的IP。通过修复我的脚本，我还能够绕过这个问题（不再需要本地配置标志），bridge-start这样它就不会最终创建多个分接接口（所有额外的网桥都是无法路由的黑洞）。请注意，即使您使用的是本地地址，它仍然可以在您的内部网络之外/通过 NAT 正常工作。

    • 4

相关问题