OpenVPN se ne povezuje na hotelskom Wi-Fi? Probajte TCP 443

Otvorite klijent, pritisnite Connect i čitajte statusnu liniju umjesto dijaloga koji slijedi za njom. Profil koji zastane na Connecting ili Waiting for server nakon hotelske, kampusne ili mobilne mreže obično je izgubio transport negdje na putu, a ne svoje vjerodajnice. Koristan sljedeći korak je saznati šta ta mreža prenosi prije nego što dirnete server. Ne mijenjajte ništa dok isti profil ne proradi negdje drugdje.

Prvo testirajte s mobilnog hotspota. Ako tunel tamo krene, server, certifikat i račun su u redu, a jedina preostala varijabla je mreža pred vama.

Počnite na klijentu: pročitajte statusnu liniju

Statusna linija kaže na kojoj je fazi došlo do neuspjeha. Klijent zaglavljen na Connecting još razrješava ime hosta ili otvara vanjski socket; onaj koji stigne do Waiting for server ima put, ali nema odgovora; onaj koji se autentificira i zatim padne ima sasvim drugi problem. Klijentski dnevnik i vlastita polja remote i proto profila pokazuju šta klijent pokušava, a --verb 4 na klijentu s komandne linije ispisuje iste pojedinosti. Upravo poređenje toga s mrežom pred vama pretvara tvrdnju „VPN je blokiran“ u konkretnu izjavu.

Zatim ispitajte mrežu alatima koje već imate. nc -vzu 203.0.113.10 1194 šalje UDP datagram, curl -v telnet://203.0.113.10:443 javlja da li se TCP rukovanje dovršava, a preglednik koji učita HTTPS stranicu dokazuje samo da odlazni 443 stiže do tog jednog hosta. Male provjere odgovaraju na ono što VPN klijent ne može: koji port i protokol uopće napuštaju ovu mrežu.

Tri mrežna ponašanja izgledaju isto s klijenta i traže različite odgovore. Odlazni 443 može biti otvoren, može biti dopušten samo proxy, ili se 443 može prosljeđivati transparentno u inspekcijsku kutiju koja ne može pročitati šta nosi. Prvo se rješava promjenom profila ispod, drugo postavkama proxyja, a treće može dovršiti rukovanje i zatim zastati kad inspektor odluči da mu se tok ne sviđa. Znati s kojim se suočavate razlika je između promjene od deset minuta i popodneva provedenog na reinstalaciji klijenata.

Premjestite slušalac i profil zajedno

Na strani servera postavite slušalac na ono što mreža dopušta: port 443 i proto tcp u konfiguraciji servera, zatim ponovo pokrenite uslugu i potvrdite socket s ss -lntp. Na strani klijenta profil se mora složiti, jer transport i port stoje izvan tunela: proto tcp i port 443 u .ovpn, ili odgovarajuća polja na ekranu postavki aplikacije. Profil koji još cilja UDP 1194 pada baš kao i prije, a iskušenje je okriviti firewall koji je već popravljen. Ako isti host odgovara i na HTTPS na 443, dva slušaoca ne mogu dijeliti tu adresu i protokol; dajte VPN-u drugu adresu ili stavite demultiplekser ispred.

Pratite prvu vezu s tcpdump -ni any port 443 na oba kraja. Paketi koji napuste klijent i nikada ne stignu znače da mreža ipak filtrira, ili adresa u profilu nije ona koju pretpostavljate. Paketi koji stignu bez odgovora vraćaju vas na serverski dnevnik, gdje se nesklad protokola odmah vidi kao odbačen paket.

Kada iz mreže izlazi samo proxy

Neke gostujuće mreže ne dopuštaju ništa osim HTTP proxyja, što je drugačije ograničenje od zatvorenog porta i isključuje više od OpenVPN-a. Klijenti koji govore samo PPTP, L2TP/IPsec ili goli IPsec nemaju put kroz njega, jer ti dizajni očekuju da njihov vanjski protokol stigne do servera izravno. OpenVPN može, s http-proxy proxy.example.net 8080 u klijentskom profilu, pod uvjetom da proxy dopušta metodu CONNECT na vaš port. SOCKS proxy je još lakši, jer prosljeđuje tok ne mareći šta je unutra.

Gdje klijent nema podršku za proxy, SSH tunel preko 443 obično je ono što ostaje. On dodaje drugi sloj, a operater mreže može imati mišljenje o tome, pa ga tretirajte kao most za jedno putovanje, a ne kao arhitekturu.

Izračunajte cijenu rezerve prije nego što je zadržite

TCP unutar TCP-a ima poznatu cijenu. Kad je vanjska veza TCP i teret je također TCP, izgubljeni segment pokreće ponovno slanje na oba sloja, a unutrašnja veza uzmiče od gubitka koji ne vidi. Pregledavanje to preživi; interaktivne sesije i pozivi to osjete. Zadržite slušalac TCP 443 kao rezervu za mreže koje ga zahtijevaju, a ostavite UDP kao zadano za sve što ga još propušta.

Zapišite izbor u naziv profila i u bilješke podrške: koji port, koji protokol i koja mreža ga je potaknula. Zatim pitajte administratora mreže ostaje li taj port otvoren nakon sljedeće obnove opreme, jer rezerva koja tiho nestane gora je od nikakve rezerve.