Pam mae proffil OpenVPN yn gweithio gartref ond yn methu mewn gwesty

Gall Wi-Fi swyddfa ac ystafell westy roi dau rwydwaith hollol wahanol i'r un gliniadur, ac nid yw'r proffil yn y canol yn gwybod dim am hynny. Mae'r hyn sy'n gweithio gartref yn tybio cyswllt i fyny goddefgar, datrysiad enwau sy'n gweithio, ac is-rwydwaith lleol nad yw'n gwrthdaro â dim y mae'r twnnel yn ei gario. Gall pob un o'r tybiaethau hyn fethu ar wahân.

Y ffordd ddefnyddiol o ddadfygio hyn yw trin y rhwydwaith fel pedwar ffaith ar wahân, yna eu profi mewn trefn. Mae dyfalu am y proffil yn gyntaf fel arfer yn cynhyrchu newid nad yw'n trwsio dim ac yn cuddio'r dystiolaeth.

Mae pedair ffaith rhwydwaith yn newid rhwng lleoliadau

Y ffaith gyntaf yw a yw'r rhwydwaith lleol yn gadael i chi fynd allan o gwbl. Mae porthol caeth yn derbyn dyfais i dudalen fewngofnodi ac yn blocio popeth arall nes bod y dudalen honno wedi'i chwblhau, sy'n golygu na all y twnnel ddechrau waeth pa mor gywir yw'r proffil.

Yr ail yw datrysiad enwau. Mae porthol sy'n rhyng-gipio DNS yn ateb pob ymholiad â'i gyfeiriad ei hun, felly mae enw gwesteiwr y VPN yn datrys i'r porthol ac mae'r cleient yn ceisio adeiladu twnnel i dudalen we.

Y trydydd yw hidlo cludiant. Mae rhwydweithiau sy'n dymuno caniatáu pori yn unig yn pasio TCP 443 i gyrchfannau mympwyol ac yn gollwng bron popeth arall, gan gynnwys UDP.

Y pedwerydd yw cyfeiriannu. Gall yr is-rwydwaith lleol orgyffwrdd â rhwydwaith y tu ôl i'r twnnel, neu gall y cyswllt i fyny beidio â chynnig unrhyw lwybr IPv4 defnyddiadwy o gwbl.

Datrysiad enwau a'r porthol caeth

Amnewidiwch enw gwesteiwr y proffil â chyfeiriad rhifol y gweinydd a rhowch gynnig arall arni. Os yw'r IP yn cysylltu ac nad yw'r enw, datrysiad enwau sydd ar fai, ac mae'r proffil ei hun yn iawn.

Agorwch borwr a cheisiwch dudalen HTTP gyffredin cyn cyffwrdd â'r VPN. Mae ailgyfeirio i dudalen fewngofnodi yn golygu bod y porthol yn dal ar y gweill; cwblhewch ef, yna ailgysylltwch. Mae llawer o westai hefyd yn dod â'r sesiwn i ben ar ôl ychydig oriau, sy'n edrych fel datgysylltiad canol dydd yn hytrach na phroblem fewngofnodi.

Os yw'r cyfeiriad rhifol hefyd yn methu, nid datrysiad enwau yw'r esboniad, felly symudwch i'r cludiant. Cadwch y cyfeiriad a brofwyd gennych, oherwydd mae'n dweud wrth y gwiriad nesaf a yw'r pecynnau wedi gadael y peiriant o gwbl.

Hidlo cludiant: UDP yn gyntaf, TCP 443 fel wrth gefn

Nid yw llif OpenVPN dros UDP 1194 yn edrych fel unrhyw beth y mae mur tân gwesty yn ei adnabod, felly caiff ei ollwng heb wall. Mae'r cleient yn ailgeisio nes bod ei amser yn dod i ben, ac mae'r defnyddiwr yn gweld cysylltiad nad yw byth yn sefydlu yn hytrach na gwrthodiad. Anaml y mae muriau tân sy'n ymddwyn felly yn cofnodi'r gollwng yn unman y gallwch ei weld. Mae absenoldeb gwrthodiad ynddo'i hun yn gliw.

TCP 443 yw'r wrth gefn dibynadwy oherwydd ni all y rhwydwaith ei wahaniaethu oddi wrth HTTPS cyffredin. Defnyddiwch broffil TCP y gweithredwr pan fydd un yn bodoli, gan fod yn rhaid i'r gweinydd hefyd wrando ar y cludiant a'r porth hwnnw; mae newid y cleient yn unig yn cynhyrchu math gwahanol o fethiant. Os nad oes proffil TCP, gofynnwch i'r gweithredwr yn hytrach na dyfeisio un drwy olygu'r porth. Rhaid i ochr y gweinydd gytuno, ac mae anghydweddiad yn edrych fel problem mur tân unwaith eto.

Disgwyliwch gost perfformiad. Mae TCP y tu mewn i TCP yn chwyddo ail-drosglwyddiadau ar gyswllt sy'n colli data, felly gall twnnel TCP sy'n gweithio deimlo'n araf ar rwydwaith gwesty gorlawn. Masnach am gyrraedd yw hyn, nid nam i fynd ar ei ôl.

Gwrthdrawiadau cyfeiriadau a chysylltiadau heb IPv4

Gall twnnel sefydlu a chario dim. Pan fydd y LAN lleol a rhwydwaith pell yn rhannu rhagddodiad fel 192.168.1.0/24, mae'r cleient yn ystyried y gwesteiwr pell yn gysylltiedig yn uniongyrchol ac yn anfon y pecyn i'r cyswllt lleol yn lle'r twnnel. Y symptom yw cysylltiad llwyddiannus ag un is-rwydwaith anghyrraeddadwy, sy'n hawdd ei ddarllen fel problem llwybr ar ochr y gweinydd.

Y trwsgl parhaol yw symud y LAN bell i ystod breifat anarferol. Mae dewis ystod nad oes neb yn ei defnyddio gartref, fel 10.42.0.0/24, yn atal y broblem ar gyfer pob lleoliad yn y dyfodol yn lle un. Y ffordd leol o'u hosgoi yw osgoi'r gwesty, man poeth neu lwybrydd hwnnw, nad yw'n ddatrysiad o gwbl.

Mae cysylltiadau symudol yn ychwanegu dau amrywiad. Mae NAT ar lefel y cludydd yn golygu nad yw cysylltiadau sy'n dod i mewn yn cyrraedd, sy'n bwysig os ydych yn cynnal gweinydd ond nid ar gyfer cleient sy'n mynd allan. Gall APN wedi'i ffurfweddu fel IPv6-yn-unig gyda chyfieithiad NAT64 fethu cleient sy'n mynnu llwybr IPv4 go iawn, a'r feddyginiaeth arferol yw newid protocol yr APN i IPv4 neu stac deuol.

Symptomau ar ôl i'r twnnel godi

Twnnel sy'n cysylltu ac yna'n mynd yn dawel fel arfer yw problem keepalive neu MTU, nid porth sy'n cael ei flocio. Mae cysylltiad sy'n disgyn ar ôl nifer penodol o funudau yn awgrymu amserydd keepalive neu ailnegodi. Gosodwch y cleient i brofi ei gymar ac ailgychwyn pan fydd atebion yn stopio, a phrofwch MTU twnnel llai os yw ping yn llwyddo tra bod trosglwyddiadau mawr yn aros.

Cyn gofyn am help, ysgrifennwch dri pheth: y cyfeiriad a geisiwyd gennych ac a atebodd, y cludiant a'r porth a ddefnyddiwyd gennych, ac is-rwydwaith lleol y rhwydwaith a fethodd. Gyda'i gilydd maent yn gwahanu datrysiad enwau oddi wrth hidlo cludiant ac oddi wrth wrthdrawiad cyfeiriadau, sef yr achosion sy'n goroesi cyfarfod â thystiolaeth.