proto udp neu tcp-client: pa un y mae eich gweinydd yn ei glywed?

Mae proffil a oedd yn gweithio mis diwethaf bellach yn dod i ben, ac mae rhywun yn awgrymu newid proto udp i proto tcp-client. Weithiau dyma'r cam cywir, ac weithiau mae'n cynhyrchu cleient sy'n cysylltu â phorth lle nad oes unrhyw beth yn gwrando, oherwydd na chafodd y gweinydd ei ffurfweddu erioed ar gyfer y drafnidiaeth arall. Mae'r gyfarwyddeb yn disgrifio sut mae eich pen chi'n siarad; ni all greu gwrandawr yn y pen arall. Darllenwch y proffil a'r gweinydd gyda'i gilydd cyn newid y naill na'r llall.

Darllenwch y drafnidiaeth y mae'r cysylltiad a ddewiswyd yn ei defnyddio

Gall proffil gynnwys sawl cofnod remote, a gall pob un enwi ei drafnidiaeth ei hun. Mae'r cleient yn mynd drwyddynt yn eu trefn, felly nid y llinell a welwch gyntaf o reidrwydd yw'r un sy'n berthnasol.

Dewch o hyd i'r cofnod sy'n cael ei geisio mewn gwirionedd, yna darllenwch ei drafnidiaeth. Mae trefn yn bwysig, oherwydd nid yw'r cleient yn symud ymlaen yn dawel. Mae rhai adeiladau'n ceisio'r cofnod nesaf dim ond ar ôl i'r amser ddod i ben, felly cyrhaeddir dewis arall sy'n gweithio ar waelod y ffeil ychydig eiliadau yn hwyrach nag yr ydych yn disgwyl. Gwyliwch y log am y pen draw sy'n cael ei geisio yn hytrach na chymryd yn ganiataol mai'r llinell gyntaf a enillodd.

Os oes gan y ffeil un llinell proto yn agos at y brig a sawl remote oddi tani, y llinell honno yw'r rhagosodiad ar gyfer unrhyw remote nad yw'n ei diystyru. Nid yw golygu lleol i'r rhagosodiad yn gwneud unrhyw beth i gofnod remote sy'n enwi ei drafnidiaeth ei hun.

grep -nE '^(remote|proto)\b' client.ovpn

Nid yw UDP a TCP yn osodiad cyflymder

Mae UDP yn anfon datagramau heb adeiladu ffrwd drefnus, felly nid yw traffig y tiwnel ei hun yn cael ei lapio mewn ail drafnidiaeth ddibynadwy. Mae TCP yn rhoi llwybr i chi drwy rwydweithiau sy'n gollwng neu'n blocio UDP, ar gost ail-drosglwyddo nythog a all wneud i gyswllt colledus deimlo'n waeth.

Masnach gyraeddadwyedd yw hon, nid graddio cyffredinol. Y dewis cywir yw'r un y mae'r rhwydwaith o flaen y cleient yn ei ganiatáu. Ni fydd llwybr sy'n gollwng UDP ar borth VPN byth yn negodi, waeth pa mor dda y mae'r proffil wedi'i ysgrifennu. Profwch y llwybr, yna dewiswch y drafnidiaeth.

Mae dewis rhyngddynt ar sail mesuriad yn unig yn gamgymeriad, oherwydd mae'r ateb yn dibynnu ar yr hyn y mae'r rhwydwaith o'ch blaen yn ei ganiatáu. Gall gwesty neu brocsi corfforaethol ganiatáu TCP allan ar 443 a dim arall, a dyna pam mae darparwyr yn cynnig y fersiwn honno. Mae'n parhau'n gysylltiad OpenVPN ar y porth hwnnw, nid sesiwn HTTPS, hyd yn oed os yw rhif y porth yn un gyfarwydd.

Beth mae tcp-client yn ei olygu mewn gwirionedd

Mae'r gyfarwyddeb ar ochr y cleient yn enwi'r pen sy'n dechrau cysylltiad TCP. Mae ochr y gweinydd yn defnyddio ei ffurf wrando ei hun, ac mae copïo gair y cleient i ffurfwedd gweinydd yn cynhyrchu gwrandawr sy'n disgwyl cael ei alw yn hytrach nag un sy'n derbyn.

Mae cyfateb yn golygu bod y ddau ben yn cytuno ar y drafnidiaeth, nid eu bod yn rhannu'r un llinyn.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Gofynnwch i'r gweinydd ar beth mae'n gwrando cyn cymryd yn ganiataol bod y proffil yn anghywir. Nid yw gwrandawr UDP yn ymddangos mewn rhestr soced TCP, ac mae'r gwrthwyneb hefyd yn wir, felly edrychwch ar y golwg sy'n benodol i'r protocol yn hytrach nag un cyffredinol.

Pan fo'r proffil yn mewngludo ond byth yn cysylltu

Mae proffil a fewngludwyd sy'n dod i ben ar unwaith fel arfer yn methu cyn unrhyw ddilysiad. Mae'r pecyn yn mynd i borth heb wrandawr, neu mae'r rhwydwaith yn ei ollwng yn dawel.

Profwch y llwybr yn y ffordd symlaf bosibl: cysylltwch â'r un gwesteiwr a phorth gyda'r drafnidiaeth y mae'r proffil yn ei honni, o'r un rhwydwaith â'r cleient sy'n methu.

Os nad yw prawf UDP yn cael dim a bod prawf TCP yn cysylltu, mae'r gweinydd yn cynnig y drafnidiaeth arall ac mae'r proffil yn syml wedi dyddio. Os nad oes yr un yn ymateb, mae'r broblem yn uwch na'r dewis trafnidiaeth ac ni fydd unrhyw olygiad i'r proffil yn ei thrwsio. Mae gwahaniaethu'r ddau achos hyn yn cymryd munud ac yn arbed awr o ddadfygio tystysgrifau nad oedd byth yn berthnasol.

Cofnodwch y drafnidiaeth sy'n gweithio

Unwaith y bydd cyfuniad yn gweithio, ysgrifennwch ef gyda'r gweinydd, y porth a'r protocol, a nodwch o ba rwydwaith y cafodd ei brofi.

Fel arall bydd y person nesaf i daro ar amser dod i ben yn rhoi cynnig ar yr un arbrawf yn y cyfeiriad arall, ac o bosibl yn newid gweinydd a oedd yn iawn.

Os yw'r darparwr yn cyhoeddi'r ddau fersiwn, cadwch y ddwy ffeil a'u labelu yn ôl y rhwydwaith y maent yn addas ar ei chyfer. Mae dau broffil wedi'u henwi'n glir yn atal cymysgu damweiniol rhwng trafnidiaeth cleient a gwrandawr gweinydd na chafodd ei ffurfweddu ar ei gyfer erioed.