OpenVPN Connect odmítá fragment: opravte zdroj profilu

Chyba přichází při importu, ještě před jakýmkoli vyjednáváním, a uvádí direktivu, kterou klient odmítá přijmout. OpenVPN Connect běží na kódu knihovny OpenVPN 3, která volbu fragment komunitního klienta vůbec neimplementuje. Dělá to z toho otázku kompatibility dvou konců, nikoli otázku ladění velikosti paketů.

Smazáním řádku vznikne soubor, který klient načte, a server, který může stále očekávat formát, jenž ten řádek popisoval. Projděte to od obrazovky importu směrem ven, než cokoli upravíte.

Kde se import zastaví

Importér zpracovává direktivy dřív, než kontaktuje server, takže odmítnutí je místní rozhodnutí o syntaxi, nikoli síťový výsledek, a OpenVPN seznam nepodporovaných direktiv zaznamenává stejné omezení. To vysvětluje, jak jeden soubor může fungovat v komunitním klientovi a selhat v Connectu na stejném počítači. Přečtěte v hlášce název direktivy a originální soubor si ponechte, protože ten text je jediný důkaz o tom, proti čemu klient protestoval. Chyba importu a vypršení časového limitu spojení pocházejí z různých fází a zaslouží si různé reakce.

Pokud hláška uvádí fragment, zbývá otázka, zda na něm závisí i server. Odpovězte na ni dřív, než sáhnete na profil, který jste dostali.

Co fragment v komunitním klientovi mění

V komunitním klientovi direktiva zapíná vlastní fragmentaci datagramů OpenVPN, která rozděluje užitečné zatížení dřív, než se dostane do vnější vrstvy IP. Existuje proto, aby přežila cesty, které zahazují velké UDP datagramy, a aby tunel zůstal použitelný tam, kde nelze věřit zjišťování MTU cesty. Není to synonymum pro snížení MTU rozhraní a není to fragmentace na úrovni IP prováděná operačním systémem. Klient, kterému mechanismus chybí, ho nezíská snížením čísla.

Protože nastavení žije i v konfiguraci serveru, odstranění z vaší kopie mění jen vaši stranu. Server může stále očekávat protějšek, který volbě rozumí, a profil, který se načte, ještě není relace, která se naváže. Tyto dvě skutečnosti vysvětlují matoucí mezistav, kdy se upravený soubor připojí a pak uvízne.

Požádejte o profil vytvořený pro tohoto klienta

Čistou cestou je druhý profil dokumentovaný pro OpenVPN Connect, pokud ho služba zveřejňuje. Mnoho poskytovatelů to dělá a rozdíl bývá v direktivách, které vynechávají, nikoli v koncovém bodu, na který ukazují. Žádejte ho podle názvu klienta, místo abyste popisovali chybu, protože podpora dokáže přiřadit profil ke klientovi mnohem rychleji, než diagnostikovat ořezaný soubor.

Pokud server provozujete vy, rozhodnutí je širší než váš klient. Vypnutí fragmentace zasáhne každý protějšek, včetně těch, které ji potřebovaly, aby zůstaly připojené přes špatnou cestu. Zveřejnění druhého naslouchače nebo druhé konfigurace pro postiženého klienta udrží stávající uživatele v provozu, zatímco novější klient dostane něco, co dokáže načíst. Ať zvolíte cokoli, zapište, která konfigurace obsluhuje kterého klienta, protože toto mapování jinak rychle zmizí.

Ověřte spojení, ne jen import

Úspěšný import dokazuje jen to, že parser soubor přijal. Navažte tunel komunitním klientem na stroji, který ovládáte, se stejným profilem, a čtěte log kvůli vyjednávání transportu a šifry. Příkazy níže to dělají bez desktopové aplikace v cestě.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Log ukazuje, kde se pokus zastavil: chyba volby se objeví před jakoukoli výměnou TLS, zatímco chyba ověření nebo šifry se objeví po ní. Pokud tunel naskočí a požadavek přesto selže, problém se přesunul z kompatibility na směrování. Porovnejte to s chováním Connectu na stejné síti, než o serveru cokoli uzavřete.

Uchovejte funkční profil a verzi klienta u poznámky. Budoucí vydání klienta může přidat podporu pro direktivu, a to změní odpověď, aniž by kdokoli sáhl na server.