OpenVPN Connect weier fragment: maak die profielbron reg

Die fout kom by invoer, voordat enige onderhandeling plaasvind, en noem 'n opdrag wat die kliënt weier om te aanvaar. OpenVPN Connect gebruik OpenVPN 3-biblioteekkode, wat die gemeenskapskliënt se fragment-opsie glad nie implementeer nie. Dit maak dit 'n versoenbaarheidsvraag oor twee eindpunte eerder as 'n instellingsvraag oor pakketgrootte.

As jy die reël uitvee, kry jy 'n lêer wat die kliënt sal ontleed, en 'n bediener wat moontlik nog die formaat verwag wat die reël beskryf het. Stap dit van die invoerskerm af na buite voordat jy enigiets wysig.

Waar die invoer stop

Die invoerder ontleed opdragte voordat dit die bediener kontak, so 'n weiering daar is 'n plaaslike besluit oor sintaksis eerder as 'n netwerkresultaat, en OpenVPN se lys van onondersteunde opdragte teken dieselfde beperking aan. Dit verduidelik hoe een lêer in die gemeenskapskliënt kan werk en in Connect op dieselfde masjien kan misluk. Lees die boodskap vir die opdragnaam en hou die oorspronklike lêer, want daardie teks is die enigste bewys van waarteen die kliënt beswaar gemaak het. 'n Invoerfout en 'n verbindingstout kom uit verskillende fases en verdien verskillende reaksies.

As die boodskap fragment noem, is die oorblywende vraag of die bediener ook daarvan afhanklik is. Beantwoord dit voordat jy aan die profiel raak wat jy gekry het.

Wat fragment in die gemeenskapskliënt verander

In die gemeenskapskliënt aktiveer die opdrag OpenVPN se eie datagramfragmentering, wat vragte verdeel voordat hulle die buitenste IP-laag bereik. Dit bestaan om paaie te oorleef wat groot UDP-datagramme laat val en om 'n tonnel bruikbaar te hou waar daar nie op pad-MTU-ontdekking vertrou kan word nie. Dit is nie 'n sinoniem vir die verlaging van die koppelvlak-MTU nie, en dit is nie IP-vlak-fragmentering deur die bedryfstelsel nie. 'n Kliënt wat die meganisme kort, kan dit nie verkry deur 'n nommer te verlaag nie.

Omdat die instelling ook in die bedienerkonfigurasie leef, verander die verwydering daarvan uit jou kopie net jou kant. Die bediener verwag moontlik nog 'n eweknie wat die opsie verstaan, en 'n profiel wat ontleed, is nog nie 'n sessie wat tot stand kom nie. Daardie twee feite verduidelik die verwarrende tussenstand waarin 'n gewysigde lêer verbind en dan vasval.

Vra 'n profiel wat vir hierdie kliënt gebou is

Die skoon roete is 'n tweede profiel wat vir OpenVPN Connect gedokumenteer is, as die diens een publiseer. Baie verskaffers doen dit, en die verskil is gewoonlik die opdragte wat hulle weglaat eerder as die eindpunt waarheen hulle wys. Vra dit by die kliëntnaam eerder as om die fout te beskryf, want 'n ondersteuningsdesk kan 'n profiel baie vinniger by 'n kliënt pas as wat dit 'n gestroopte lêer kan diagnoseer.

As jy die bediener bestuur, is die besluit wyer as jou eie kliënt. Om fragmentering af te skakel, raak elke eweknie, insluitend diegene wat dit nodig gehad het om oor 'n swak pad verbind te bly. Om 'n tweede luisteraar of 'n tweede konfigurasie vir die geaffekteerde kliënt te publiseer, hou bestaande gebruikers aan die werk terwyl die nuwer kliënt iets kry wat dit kan ontleed. Hoe jy ook al gaan, skryf neer watter konfigurasie watter kliënt bedien, want daardie koppeling verdwyn anders vinnig.

Verifieer die verbinding, nie net die invoer nie

'n Suksesvolle invoer bewys net dat die ontleder die lêer aanvaar het. Stel die tonnel op met die gemeenskapskliënt op 'n masjien wat jy beheer, met dieselfde profiel, en lees die log vir vervoer- en syferonderhandeling. Die opdragte hieronder doen dit sonder dat die lessenaartoepassing in die pad is.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Die log wys waar die poging gestop het: 'n opsiefout verskyn voor enige TLS-uitruiling, terwyl 'n verifikasie- of syferfout daarna verskyn. As die tonnel opkom en die versoek steeds misluk, het die probleem van versoenbaarheid na roetering geskuif. Vergelyk dit met Connect se gedrag op dieselfde netwerk voordat jy enigiets oor die bediener aflei.

Hou die werkende profiel en die kliëntweergawe by die nota. 'n Toekomstige kliëntvrystelling kan ondersteuning vir 'n opdrag byvoeg, en dit verander die antwoord sonder dat iemand aan die bediener raak.