Το OpenVPN Connect απορρίπτει το fragment: διορθώστε την πηγή του προφίλ

Το σφάλμα εμφανίζεται κατά την εισαγωγή, πριν από οποιαδήποτε διαπραγμάτευση, και ονομάζει μια οδηγία που ο πελάτης αρνείται να δεχτεί. Το OpenVPN Connect εκτελεί κώδικα της βιβλιοθήκης OpenVPN 3, που δεν υλοποιεί καθόλου την επιλογή fragment του πελάτη κοινότητας. Αυτό κάνει το ζήτημα ζήτημα συμβατότητας δύο άκρων και όχι ζήτημα ρύθμισης του μεγέθους πακέτου.

Η διαγραφή της γραμμής παράγει ένα αρχείο που ο πελάτης θα αναλύσει, και έναν διακομιστή που ίσως περιμένει ακόμη τη μορφή που περιέγραφε η γραμμή. Περάστε το από την οθόνη εισαγωγής προς τα έξω πριν αλλάξετε οτιδήποτε.

Πού σταματά η εισαγωγή

Ο εισαγωγέας αναλύει τις οδηγίες πριν επικοινωνήσει με τον διακομιστή, άρα μια άρνηση εκεί είναι τοπική απόφαση για τη σύνταξη και όχι αποτέλεσμα δικτύου, και η λίστα μη υποστηριζόμενων οδηγιών του OpenVPN καταγράφει τον ίδιο περιορισμό. Αυτό εξηγεί πώς ένα αρχείο μπορεί να δουλεύει στον πελάτη κοινότητας και να αποτυγχάνει στο Connect στο ίδιο μηχάνημα. Διαβάστε στο μήνυμα το όνομα της οδηγίας και κρατήστε το αρχικό αρχείο, γιατί αυτό το κείμενο είναι η μόνη απόδειξη για το τι αντέτεινε ο πελάτης. Ένα σφάλμα εισαγωγής και ένα χρονικό όριο σύνδεσης προέρχονται από διαφορετικά στάδια και αξίζουν διαφορετικές απαντήσεις.

Αν το μήνυμα ονομάζει το fragment, μένει το ερώτημα αν εξαρτάται και ο διακομιστής από αυτό. Απαντήστε σε αυτό πριν αγγίξετε το προφίλ που σας δόθηκε.

Τι αλλάζει το fragment στον πελάτη κοινότητας

Στον πελάτη κοινότητας η οδηγία ενεργοποιεί τον δικό του κατακερματισμό datagram του OpenVPN, που χωρίζει το ωφέλιμο φορτίο πριν φτάσει στο εξωτερικό επίπεδο IP. Υπάρχει για να επιβιώνει σε διαδρομές που πετούν μεγάλα datagram UDP και για να κρατά ένα τούνελ χρησιμοποιήσιμο εκεί όπου η ανακάλυψη MTU της διαδρομής δεν είναι αξιόπιστη. Δεν είναι συνώνυμο της μείωσης του MTU της διεπαφής, και δεν είναι κατακερματισμός σε επίπεδο IP που κάνει το λειτουργικό σύστημα. Ένας πελάτης χωρίς τον μηχανισμό δεν τον αποκτά μειώνοντας έναν αριθμό.

Επειδή η ρύθμιση ζει και στη διαμόρφωση του διακομιστή, η αφαίρεσή της από το αντίγραφό σας αλλάζει μόνο τη δική σας πλευρά. Ο διακομιστής ίσως περιμένει ακόμη έναν ομότιμο που καταλαβαίνει την επιλογή, και ένα προφίλ που αναλύεται δεν είναι ακόμη συνεδρία που εγκαθίσταται. Αυτά τα δύο γεγονότα εξηγούν την μπερδεμένη ενδιάμεση κατάσταση όπου ένα επεξεργασμένο αρχείο συνδέεται και μετά κολλάει.

Ζητήστε ένα προφίλ φτιαγμένο για αυτόν τον πελάτη

Ο καθαρός δρόμος είναι ένα δεύτερο προφίλ τεκμηριωμένο για το OpenVPN Connect, αν η υπηρεσία δημοσιεύει ένα. Πολλοί πάροχοι το κάνουν, και η διαφορά είναι συνήθως οι οδηγίες που παραλείπουν και όχι το άκρο προς το οποίο δείχνουν. Ζητήστε το με το όνομα του πελάτη αντί να περιγράφετε το σφάλμα, αφού ένα γραφείο υποστήριξης μπορεί να ταιριάξει ένα προφίλ με έναν πελάτη πολύ πιο γρήγορα απ’ ό,τι να διαγνώσει ένα απογυμνωμένο αρχείο.

Αν διαχειρίζεστε εσείς τον διακομιστή, η απόφαση είναι ευρύτερη από τον δικό σας πελάτη. Η απενεργοποίηση του κατακερματισμού επηρεάζει κάθε ομότιμο, μαζί με εκείνους που το χρειάζονταν για να μείνουν συνδεδεμένοι σε μια κακή διαδρομή. Η δημοσίευση δεύτερου ακροατή ή δεύτερης διαμόρφωσης για τον επηρεαζόμενο πελάτη κρατά τους υπάρχοντες χρήστες σε λειτουργία, ενώ ο νεότερος πελάτης παίρνει κάτι που μπορεί να αναλύσει. Όπως κι αν προχωρήσετε, γράψτε ποια διαμόρφωση εξυπηρετεί ποιον πελάτη, γιατί αυτή η αντιστοίχιση χάνεται γρήγορα αλλιώς.

Επαληθεύστε τη σύνδεση, όχι μόνο την εισαγωγή

Μια επιτυχημένη εισαγωγή αποδεικνύει μόνο ότι ο αναλυτής δέχτηκε το αρχείο. Στήστε το τούνελ με τον πελάτη κοινότητας σε μηχάνημα που ελέγχετε, με το ίδιο προφίλ, και διαβάστε το αρχείο καταγραφής για τη διαπραγμάτευση μεταφοράς και κρυπτογράφησης. Οι παρακάτω εντολές το κάνουν χωρίς την εφαρμογή επιφάνειας εργασίας στον δρόμο.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Το αρχείο καταγραφής δείχνει πού σταμάτησε η προσπάθεια: σφάλμα επιλογής εμφανίζεται πριν από οποιαδήποτε ανταλλαγή TLS, ενώ αποτυχία ταυτοποίησης ή κρυπτογράφησης εμφανίζεται μετά. Αν το τούνελ σηκωθεί και το αίτημα εξακολουθεί να αποτυγχάνει, το πρόβλημα μετακινήθηκε από τη συμβατότητα στη δρομολόγηση. Συγκρίνετε το με τη συμπεριφορά του Connect στο ίδιο δίκτυο πριν καταλήξετε σε οτιδήποτε για τον διακομιστή.

Κρατήστε το προφίλ που δουλεύει και την έκδοση του πελάτη δίπλα στη σημείωση. Μια μελλοντική έκδοση του πελάτη μπορεί να προσθέσει υποστήριξη για μια οδηγία, και αυτό αλλάζει την απάντηση χωρίς να αγγίξει κανείς τον διακομιστή.