OpenVPN radi kod kuće ali ne na jednoj mreži: UDP ili TCP?

Isti profil se povezuje od kuće i zastaje na hotelskoj, kampusa ili poslovnoj mreži. Akreditivi se nisu promijenili, pa je zanimljiva varijabla put: šta se dešava s paketima prije nego što OpenVPN ih pročita. Poređenje četiri moguća uzroka redom kojim se mogu testirati bolje je od nagađanja o certifikatima. Svaki ostavlja drugačiji trag, a trag je ono što ih razdvaja.

Koja je faza pala pokazuje koje je poređenje važno

Dnevnik klijenta već bilježi dokle ste stigli. Redak koji kaže da se pregovaranje TLS ključa nije dogodilo u zadanom roku znači da je prvi paket otišao i da ništa upotrebljivo nije došlo natrag, što upućuje na put. Odbijanje certifikata izgleda sasvim drukčije: odgovor stigne, a zatim konkretna greška provjere navede razlog. Zabilježite posljednji redak prije petlje ponovnih pokušaja, jer to je vrijednost koju poredite između mreža.

Snimajte dok ponavljate, a ne poslije. Na klijentu tcpdump -ni any udp port 1194 pokazuje vraća li se ikakav odgovor. Ponovite to na WAN interfejsu servera koji kontrolišete, što otkriva stižu li ti paketi uopšte do udaljene strane.

Jednostrani saobraćaj je najkorisniji rezultat dostupan ovdje, jer pretvara povremenu žalbu u smjer za istragu. Sačuvajte datoteke snimaka, jer se sljedeći izvještaj o istom problemu lakše zatvara dokazom nego opisom.

UDP filtriranje nasuprot zatvorenom portu

Mnoge pristupne mreže smatraju dugotrajni UDP sumnjivim, a neki ISP-ovi se slažu s njima. Zatvoren port proizvodi istu tišinu s klijentove strane. Razlika je u selektivnosti: filtar je sklon birati koja odredišta ili portove odbacuje, dok zatvoren port odbija sve usmjereno na taj jedan port.

TCP profil na portu 443 uobičajen je zaobilazni put, jer liči na običan HTTPS tok i prolazi kroz većinu captive portala i izlaznih filtara. Moraju vrijediti dva uslova. Server mora slušati s proto tcp-server, a klijent se mora poklapati s proto tcp-client, i operater mora objaviti tu alternativnu krajnju tačku. Prepisivanje radnog UDP profila da tvrdi TCP 443 ne vodi nikuda kad na drugoj strani niko ne sluša.

Zatvoren port je problem konfiguracije, a ne cenzure. Server iza kućnog rutera treba proslijeđen UDP port, a ruterov firewall to mora dopustiti. Kad port nikada nije bio dopušten, svaki klijent pada na pregovaranju bez obzira na akreditive, a kvar prati server, a ne mrežu.

Stariji protokoli se loše porede na ovoj osi. PPTP traži TCP 1723 plus GRE, a GRE je IP protokol 47, a ne port, pa to nijedno obično prosljeđivanje porta ne izražava.

Kad svič jeste taj koji odbacuje pakete

Upravljani svič može namjerno odbaciti tunel. Neki HPE i Aruba modeli u odjeljku napredne sigurnosti izlažu kontrolu zaštite od UDP poplave, ponekad označenu Prevent UDP Blat Attack. Kad je ta kontrola aktivna, server iza sviča ne odgovara ništa i svaki klijent istekne na isti način. Isključivanje i čuvanje tekuće konfiguracije jest cijela popravka, ali tek nakon što utvrdite da je svič zaista na putu.

Protivdokazi su ono što razdvaja odbacivanje na sviču od blokade provajdera. Pročitajte brojače interfejsa i dnevnik zaštite od poplave prije nego otvorite tiket kod ISP-a. Potrošački ruteri sa zaštitom od DoS ili poplave padaju na isti način, kao i svaki posredni uređaj s kratkim vremenom mirovanja UDP-a. Rukovanje koje se nikad ne završi upućuje na odbacivanje, dok tunel koji umre nakon minuta tišine upućuje na vremensko ograničenje.

Zapišite svaki uređaj između klijenta i servera prije nego promijenite profil. Popravka primijenjena na pogrešnom sloju izgleda ispravno do sljedeće mreže. Taj popis također govori sljedećem inženjeru gdje gledati bez ponavljanja cijele istrage.

Preklapanje adresa koje izgleda kao DNS kvar

Pristupna mreža numerisana unutar 10.0.0.0/8 može se preklopiti s bazenom tunela, a razrješivač obično živi unutar tog bazena. Kad laptop dobije adresu poput 10.184.178.50 s maskom /8 na Wi-Fi-ju, svako odredište 10.x je po definiciji lokalno. Paketi za 10.4.0.1 tada idu u LAN, tunel ostaje podignut, a razrješavanje imena pada.

ip addr otkriva preklapanje na prvi pogled, a ip route get 10.4.0.1 pokazuje gdje bi paket zaista bio dostavljen. Budući da je vidljivi simptom kvar razrješivača, ovaj slučaj često preživi nekoliko krugova promjena DNS-a.

Prenumerišite bazen ili držite tu pristupnu mrežu izvan opsega. Nijedna postavka na strani klijenta ne oporavlja od preklapanja.

Odluka između TCP rezerve i popravke puta

Odaberite TCP rezervu kad ne kontrolišete put i korisnici moraju raditi danas, i prihvatite njezine troškove: TCP unutar TCP-a loše se ponaša na linkovima s gubicima, a rezerva traži slušalicu koju vi vodite. Odaberite popravku puta kad blokada leži na infrastrukturi koju posjedujete, jer je firewall pravilo jeftinije od druge slušalice. U svakom slučaju prođite kroz slojeve redom: link, vanjski transport, pregovaranje, unutrašnje rutiranje. Faza koja je pala na toj mreži jedina je činjenica koja je važna.

Bilježite rezultat po mreži, a ne po korisniku. Sljedeći izvještaj o istom kvaru tada počinje od poznate faze, umjesto od teorije o certifikatu. Taj zapis također opravdava stalnu drugu slušalicu, ako ikad bude potrebna.