Чаму профіль OpenVPN працуе дома, але не працуе ў гатэлі

Wi-Fi у офісе і гатэльны нумар могуць даць аднаму ноўтбуку дзве зусім розныя сеткі, і профіль паміж імі пра гэта нічога не ведае. Тое, што працуе дома, мяркуе добразычлівы ўзыходзячы канал, працоўнае развязанне імёнаў і лакальную падсетку, якая не перасякаецца з тым, што нясе тунель. Кожнае з гэтых меркаванняў можа не спраўдзіцца незалежна.

Карысны спосаб наладзіць гэта — разглядаць сетку як чатыры асобныя факты, а затым правяраць іх па чарзе. Здагадкі пра профіль спачатку звычайна даюць змену, якая нічога не выпраўляе і зацямняе доказы.

Чатыры сеткавыя факты змяняюцца паміж месцамі

Першы факт — ці выпускае вас лакальная сетка наогул. Партал уваходу пускае прыладу на старонку ўваходу і блакуе ўсё астатняе, пакуль гэтая старонка не завершаная, гэта значыць тунель не можа запусціцца, наколькі б правільным ні быў профіль.

Другі — развязанне імёнаў. Партал, які перахоплівае DNS, адказвае на кожны запыт сваім адрасам, таму імя хаста VPN развязваецца ў партал, і кліент спрабуе пабудаваць тунель да вэб-старонкі.

Трэці — фільтраванне транспарту. Сеткі, якія хочуць дазволіць толькі прагляд, прапускаюць TCP 443 да адвольных прызначэнняў і адкідаюць амаль усё астатняе, уключаючы UDP.

Чацвёрты — адрасацыя. Лакальная падсетка можа перакрывацца з сеткай за тунелем, або ўзыходзячы канал можа наогул не даваць прыдатнага шляху IPv4.

Развязанне імёнаў і партал уваходу

Замяніце імя хаста ў профілі на лікавы адрас сервера і паспрабуйце зноў. Калі IP злучаецца, а імя не, вінаватая развязанне імёнаў, і сам профіль у парадку.

Адкрыйце браўзер і паспрабуйце звычайную HTTP-старонку, перш чым чапаць VPN. Перанакіраванне на старонку ўваходу азначае, што партал яшчэ чакае; завершыце яго, затым перазлучыцеся. Многія гатэлі таксама сканчаюць сеанс праз некалькі гадзін, што выглядае як перапынак сярод дня, а не як праблема ўваходу.

Калі лікавы адрас таксама не спрацуе, развязанне імёнаў не тлумачэнне, таму пераходзьце да транспарту. Захавайце адрас, які вы правяралі, бо ён падкажа наступнай праверцы, ці пакеты наогул пакінулі машыну.

Фільтраванне транспарту: спачатку UDP, TCP 443 як рэзерв

Паток OpenVPN праз UDP 1194 не выглядае як нешта, што пазнае гатэльны фэйрвол, таму яго адкідаюць без памылкі. Кліент паўтарае спробы, пакуль не скончыцца тайм-аўт, і карыстальнік бачыць злучэнне, якое ніколі не ўсталёўваецца, а не адмову. Фэйрволы, якія так сябе паводзяць, рэдка запісваюць адкіданне дзесьці, дзе вы гэта ўбачыце. Адсутнасць адмовы сама па сабе з'яўляецца падказкай.

TCP 443 — надзейны рэзерв, бо сетка не можа адрозніць яго ад звычайнага HTTPS. Выкарыстоўвайце TCP-профіль аператара, калі ён ёсць, бо сервер таксама павінен слухаць на гэтым транспарце і порце; змяненне толькі кліента стварае іншы тып збою. Калі TCP-профілю няма, спытайце аператара, а не выдумляйце яго праз рэдагаванне порта. Серверны бок павінен пагадзіцца, і неадпаведнасць зноў выглядае як праблема фэйрвола.

Чакайце цаны ў прадукцыйнасці. TCP унутры TCP узмацняе паўторныя перадачы на стратным канале, таму працоўны TCP-тунель можа ўсё яшчэ здавацца павольным у перапоўненай гатэльнай сетцы. Гэта абмен на дасягальнасць, а не недахоп, за якім трэба гнацца.

Канфлікты адрасоў і ўзыходзячыя каналы без IPv4

Тунель можа ўсталявацца і ўсё ж нічога не пераносіць. Калі лакальная LAN і аддаленая сетка дзеляць прэфікс, напрыклад 192.168.1.0/24, кліент лічыць аддалены хост непасрэдна падключаным і адпраўляе пакет на лакальнае звяно замест тунеля. Сімптом — паспяховае злучэнне з адной недасяжнай падсеткай, што лёгка палічыць праблемай маршруту на баку сервера.

Пастаяннае выпраўленне — перанесці аддаленую LAN у незвычайны прыватны дыяпазон. Выбар дыяпазону, які ніхто не выкарыстоўвае дома, напрыклад 10.42.0.0/24, прадухіляе праблему для кожнага будучага месца, а не для аднаго. Лакальны абыход — пазбягаць таго гатэля, хот-спота ці маршрутызатара, што зусім не выпраўленне.

Мабільныя ўзыходзячыя каналы дадаюць дзве варыяцыі. NAT узроўню аператара азначае, што ўваходныя злучэнні не даходзяць, што важна, калі вы размяшчаеце сервер, але не для выходнага кліента. APN, наладжаны як толькі IPv6 з трансляцыяй NAT64, можа праваліць кліента, які патрабуе сапраўднага шляху IPv4, і звычайнае рашэнне — змяніць пратакол APN на IPv4 або падвойны стек.

Сімптомы пасля ўздыму тунеля

Тунель, які падключаецца і затым змаўкае, звычайна пакутуе ад праблемы keepalive або MTU, а не ад заблакаванага порта. Злучэнне, якое абрываецца праз фіксаваную колькасць хвілін, паказвае на таймер keepalive або перапагаднення. Наладзьце кліента правяраць свайго суразмоўцу і перазапускацца, калі адказы спыняюцца, і праверце меншы MTU тунеля, калі пінгі праходзяць, а вялікія перадачы стаяць.

Перш чым прасіць дапамогі, запішыце тры рэчы: адрас, які вы спрабавалі, і ці адказаў ён, транспарт і порт, якія вы выкарыстоўвалі, і лакальную падсетку сеткі, якая правалілася. Разам яны аддзяляюць развязанне імёнаў ад фільтравання транспарту і ад канфлікту адрасоў — гэта прычыны, якія вытрымліваюць сутыкненне з доказамі.