OpenVPN Connect rebutja fragment: arregleu l’origen del perfil

L’error arriba a la importació, abans de qualsevol negociació, i anomena una directiva que el client es nega a acceptar. OpenVPN Connect executa codi de la biblioteca OpenVPN 3, que no implementa gens l’opció fragment del client comunitari. Això ho converteix en una qüestió de compatibilitat entre dos extrems i no en una qüestió d’ajust de la mida dels paquets.

Si suprimiu la línia, obteniu un fitxer que el client analitzarà i un servidor que potser encara espera el format que descrivia la línia. Recorreu-ho des de la pantalla d’importació cap enfora abans de tocar res.

On s’atura la importació

L’importador analitza les directives abans de contactar amb el servidor, així que un rebuig allà és una decisió local sobre sintaxi i no un resultat de xarxa, i la llista de directives no admeses d’OpenVPN registra la mateixa limitació. Això explica com un mateix fitxer pot funcionar al client comunitari i fallar a Connect a la mateixa màquina. Llegiu el missatge per saber el nom de la directiva i conserveu el fitxer original, perquè aquest text és l’única prova de què va objectar el client. Un error d’importació i un temps d’espera de connexió vénen d’etapes diferents i mereixen respostes diferents.

Si el missatge anomena fragment, la pregunta que queda és si el servidor també en depèn. Responeu-ho abans de tocar el perfil que us han donat.

Què canvia fragment al client comunitari

Al client comunitari, la directiva activa la fragmentació de datagrames pròpia d’OpenVPN, que divideix les càrregues abans que arribin a la capa IP exterior. Existeix per sobreviure a camins que descarten datagrames UDP grans i per mantenir un túnel utilitzable on no es pot confiar en el descobriment de l’MTU del camí. No és sinònim de baixar l’MTU de la interfície i no és la fragmentació a nivell IP que fa el sistema operatiu. Un client que no té el mecanisme no el pot adquirir baixant un número.

Com que el paràmetre també viu a la configuració del servidor, treure’l de la vostra còpia només canvia el vostre costat. El servidor potser encara espera un igual que entengui l’opció, i un perfil que es parseja encara no és una sessió que s’estableix. Aquests dos fets expliquen l’estat intermedi confús en què un fitxer editat connecta i després s’encalla.

Demaneu un perfil fet per a aquest client

La via neta és un segon perfil documentat per a OpenVPN Connect, si el servei en publica un. Molts proveïdors ho fan, i la diferència solen ser les directives que ometen i no l’extrem al qual apunten. Demaneu-lo pel nom del client en lloc de descriure l’error, ja que un servei d’assistència pot aparellar un perfil amb un client molt més de pressa que no diagnosticar un fitxer despullat.

Si vosaltres gestioneu el servidor, la decisió és més àmplia que el vostre client. Desactivar la fragmentació afecta tots els iguals, inclosos els que la necessitaven per mantenir-se connectats per un camí dolent. Publicar un segon oient o una segona configuració per al client afectat manté els usuaris existents en marxa mentre el client més nou rep alguna cosa que pot analitzar. Tant se val com ho feu, anoteu quina configuració serveix quin client, perquè aquesta correspondència desapareix de pressa si no.

Verifiqueu la connexió, no només la importació

Una importació correcta només demostra que l’analitzador ha acceptat el fitxer. Establiu el túnel amb el client comunitari en una màquina que controleu, amb el mateix perfil, i llegiu el registre per a la negociació de transport i de xifratge. Les ordres de sota ho fan sense l’aplicació d’escriptori pel mig.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

El registre mostra on s’ha aturat l’intent: un error d’opció apareix abans de qualsevol intercanvi TLS, mentre que un error d’autenticació o de xifratge apareix després. Si el túnel s’aixeca i la petició encara falla, el problema ha passat de la compatibilitat a l’encaminament. Compareu-ho amb el comportament de Connect a la mateixa xarxa abans de concloure res sobre el servidor.

Guardeu el perfil que funciona i la versió del client al costat de la nota. Una futura versió del client pot afegir suport per a una directiva, i això canvia la resposta sense que ningú toqui el servidor.