OpenVPN Connect адхіляе fragment: выпраўце крыніцу профілю

Памылка з’яўляецца пры імпарце, перад любымі перамовамі, і называе дырэктыву, якую кліент адмаўляецца прымаць. OpenVPN Connect выконвае код бібліятэкі OpenVPN 3, які зусім не рэалізуе опцыю fragment супольнаснага кліента. Гэта робіць пытанне пытаннем сумяшчальнасці двух канцоў, а не пытаннем наладкі памеру пакета.

Выдаленне радка дае файл, які кліент разбярэ, і сервер, які можа ўсё яшчэ чакаць фармату, апісанага ў гэтым радку. Прайдзіце гэта ад экрана імпарту вонкі, перш чым нешта змяняць.

Дзе спыняецца імпарт

Імпартэр разбірае дырэктывы, перш чым звязацца з серверам, таму адмова там — лакальнае рашэнне пра сінтаксіс, а не вынік сеткі, і спіс дырэктыў, якія не падтрымліваюцца у OpenVPN фіксуе тое ж абмежаванне. Гэта тлумачыць, як адзін файл можа працаваць у супольнасным кліенце і не спрацаваць у Connect на той жа машыне. Прачытайце ў паведамленні назву дырэктывы і захавайце арыгінальны файл, бо гэты тэкст — адзіны доказ таго, супраць чаго пярэчыў кліент. Памылка імпарту і сканчэнне часу злучэння прыходзяць з розных этапаў і заслугоўваюць розных адказаў.

Калі паведамленне называе fragment, застаецца пытанне, ці залежыць ад яго і сервер. Адкажыце на гэта, перш чым чапаць атрыманы профіль.

Што fragment змяняе ў супольнасным кліенце

У супольнасным кліенце дырэктыва ўключае ўласнае фрагментаванне дэйтаграм OpenVPN, якое дзеліць карысную нагрузку, перш чым яна дасягне знешняга слоя IP. Яно існуе, каб перажыць шляхі, якія адкідаюць вялікія дэйтаграмы UDP, і каб тунэль заставаўся прыдатным там, дзе выяўленню MTU шляху нельга давяраць. Гэта не сінонім зніжэння MTU інтэрфейса і не фрагментаванне на ўзроўні IP, якое выконвае аперацыйная сістэма. Кліент без гэтага механізму не атрымае яго, знізіўшы лік.

Паколькі налада жыве і ў канфігурацыі сервера, выдаленне яе з вашай копіі змяняе толькі ваш бок. Сервер можа ўсё яшчэ чакаць партнёра, які разумее опцыю, а профіль, які разбіраецца, яшчэ не сеанс, які ўстанаўліваецца. Гэтыя два факты тлумачаць заблытаны прамежкавы стан, у якім зменены файл падключаецца і затым затынаецца.

Папрасіце профіль, створаны для гэтага кліента

Чысты шлях — другі профіль, дакументаваны для OpenVPN Connect, калі сэрвіс публікуе такі. Многія пастаўшчыкі так робяць, і розніца звычайна ў дырэктывах, якія яны апускаюць, а не ў канцавым пункце, на які яны паказваюць. Прасіце яго па назве кліента, а не апісвайце памылку, бо служба падтрымкі можа суаднесці профіль з кліентам значна хутчэй, чым дыягнаставаць абрэзаны файл.

Калі сервер вядзеце вы, рашэнне шырэйшае за вашага кліента. Выключэнне фрагментавання закранае кожнага партнёра, уключаючы тых, каму яно было патрэбна, каб заставацца злучанымі на дрэнным шляху. Публікацыя другога слухача або другой канфігурацыі для пацярпелага кліента трымае існуючых карыстальнікаў у працы, пакуль новы кліент атрымлівае нешта, што можа разбіраць. Як бы вы ні паступілі, запішыце, якая канфігурацыя абслугоўвае якога кліента, бо гэта адпаведнасць інакш хутка знікне.

Праверце злучэнне, а не толькі імпарт

Паспяховы імпарт даказвае толькі тое, што разборшчык прыняў файл. Усталюйце тунэль супольнасным кліентам на машыне, якую вы кантралюеце, з тым жа профілем, і чытайце часопіс пра перамовы транспарту і шыфравання. Каманды ніжэй робяць гэта без настольнай праграмы на шляху.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Часопіс паказвае, дзе спынілася спроба: памылка опцыі з’яўляецца перад любым абменам TLS, а памылка аўтэнтыфікацыі або шыфравання — пасля яго. Калі тунэль падымаецца, а запыт усё роўна не праходзіць, праблема перайшла ад сумяшчальнасці да маршрутызацыі. Параўнайце гэта з паводзінамі Connect у той жа сетцы, перш чым рабіць любыя высновы пра сервер.

Трымайце працоўны профіль і версію кліента побач з нататкай. Будучы выпуск кліента можа дадаць падтрымку дырэктывы, і гэта змяняе адказ, не датыкаючыся да сервера.