proto udp ή tcp-client: ποιο ακούει ο διακομιστής σας;

Ένα προφίλ που λειτουργούσε τον προηγούμενο μήνα τώρα λήγει και κάποιος προτείνει να αλλάξετε το proto udp σε proto tcp-client. Μερικές φορές αυτό είναι το σωστό βήμα, και μερικές φορές παράγει έναν πελάτη που συνδέεται σε μια θύρα όπου δεν ακούει τίποτα, επειδή ο διακομιστής δεν ρυθμίστηκε ποτέ για το άλλο μεταφορικό μέσο. Η οδηγία περιγράφει πώς μιλά η δική σας πλευρά· δεν μπορεί να δημιουργήσει ακροατή στην άλλη άκρη. Διαβάστε το προφίλ και τον διακομιστή μαζί πριν αλλάξετε οποιοδήποτε από τα δύο.

Διαβάστε το μεταφορικό μέσο που χρησιμοποιεί η επιλεγμένη σύνδεση

Ένα προφίλ μπορεί να φέρει πολλές καταχωρίσεις remote, και καθεμία μπορεί να ορίζει το δικό της μεταφορικό μέσο. Ο πελάτης τις διατρέχει με σειρά, επομένως η γραμμή που βλέπετε πρώτη δεν είναι απαραίτητα αυτή που ισχύει.

Βρείτε την καταχώριση που δοκιμάζεται πραγματικά και μετά διαβάστε το μεταφορικό της μέσο. Η σειρά έχει σημασία, γιατί ο πελάτης δεν προχωρά σιωπηλά. Ορισμένες εκδόσεις δοκιμάζουν την επόμενη καταχώριση μόνο μετά από λήξη χρόνου, οπότε μια λειτουργική εναλλακτική στο τέλος του αρχείου φτάνεται δευτερόλεπτα αργότερα απ' ό,τι περιμένετε. Παρακολουθήστε στο αρχείο καταγραφής ποιο τελικό σημείο δοκιμάζεται αντί να υποθέσετε ότι κέρδισε η πρώτη γραμμή.

Αν το αρχείο έχει μία γραμμή proto κοντά στην κορυφή και πολλές καταχωρίσεις remote από κάτω, αυτή η γραμμή είναι η προεπιλογή για κάθε remote που δεν την παρακάμπτει. Μια τοπική αλλαγή στην προεπιλογή δεν κάνει τίποτα για μια καταχώριση remote που ορίζει το δικό της μεταφορικό μέσο.

grep -nE '^(remote|proto)\b' client.ovpn

Το UDP και το TCP δεν είναι ρύθμιση ταχύτητας

Το UDP στέλνει αυτοδύναμα πακέτα χωρίς να χτίζει τακτοποιημένη ροή, οπότε η ίδια η κίνηση της σήραγγας δεν τυλίγεται μέσα σε δεύτερο αξιόπιστο μεταφορικό μέσο. Το TCP σας δίνει διαδρομή μέσα από δίκτυα που ρίχνουν ή μπλοκάρουν το UDP, με κόστος την ένθετη επαναμετάδοση που μπορεί να κάνει έναν σύνδεσμο με απώλειες να φαίνεται χειρότερος.

Είναι ανταλλαγή προσβασιμότητας, όχι καθολική κατάταξη. Η σωστή επιλογή είναι αυτή που επιτρέπει το δίκτυο μπροστά από τον πελάτη. Μια διαδρομή που ρίχνει το UDP στη θύρα VPN δεν θα διαπραγματευτεί ποτέ, όσο καλά κι αν είναι γραμμένο το προφίλ. Δοκιμάστε τη διαδρομή και μετά επιλέξτε το μεταφορικό μέσο.

Η επιλογή μεταξύ τους μόνο με βάση μια μέτρηση είναι λάθος, γιατί η απάντηση εξαρτάται από το τι επιτρέπει το δίκτυο μπροστά σας. Ένα ξενοδοχείο ή ένα εταιρικό proxy μπορεί να επιτρέπει εξερχόμενο TCP στη θύρα 443 και τίποτα άλλο, γι' αυτό οι πάροχοι προσφέρουν αυτή την παραλλαγή. Παραμένει σύνδεση OpenVPN σε αυτή τη θύρα, όχι συνεδρία HTTPS, ακόμη κι αν ο αριθμός θύρας είναι ο γνωστός.

Τι σημαίνει στην πραγματικότητα το tcp-client

Η οδηγία από την πλευρά του πελάτη ονομάζει το άκρο που ξεκινά μια σύνδεση TCP. Η πλευρά του διακομιστή χρησιμοποιεί τη δική της μορφή ακρόασης, και η αντιγραφή της λέξης του πελάτη σε μια ρύθμιση διακομιστή παράγει ακροατή που περιμένει να τον καλέσουν και όχι έναν που δέχεται.

Η αντιστοίχιση σημαίνει ότι τα δύο άκρα συμφωνούν στο μεταφορικό μέσο, όχι ότι μοιράζονται την ίδια συμβολοσειρά.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Ρωτήστε τον διακομιστή σε τι ακούει πριν υποθέσετε ότι το προφίλ είναι λάθος. Ένας ακροατής UDP δεν εμφανίζεται σε λίστα υποδοχών TCP, και το αντίστροφο ισχύει επίσης, γι' αυτό κοιτάξτε την προβολή που αφορά το πρωτόκολλο και όχι μια γενική.

Όταν το προφίλ εισάγεται αλλά δεν συνδέεται ποτέ

Ένα εισαγόμενο προφίλ που λήγει αμέσως συνήθως αποτυγχάνει πριν από οποιαδήποτε επαλήθευση ταυτότητας. Το πακέτο πηγαίνει σε θύρα χωρίς ακροατή, ή το δίκτυο το ρίχνει σιωπηλά.

Δοκιμάστε τη διαδρομή με τον πιο απλό τρόπο: συνδεθείτε στον ίδιο κεντρικό υπολογιστή και θύρα με το μεταφορικό μέσο που ισχυρίζεται το προφίλ, από το ίδιο δίκτυο με τον πελάτη που αποτυγχάνει.

Αν μια δοκιμή UDP δεν πάρει τίποτα και μια δοκιμή TCP συνδεθεί, ο διακομιστής προσφέρει το άλλο μεταφορικό μέσο και το προφίλ είναι απλώς παρωχημένο. Αν δεν απαντήσει κανένα, το πρόβλημα βρίσκεται πιο πάνω από την επιλογή μεταφορικού μέσου και καμία αλλαγή στο προφίλ δεν θα το διορθώσει. Η διάκριση των δύο περιπτώσεων παίρνει ένα λεπτό και γλιτώνει μια ώρα αποσφαλμάτωσης πιστοποιητικών που ποτέ δεν ήταν σχετική.

Καταγράψτε το μεταφορικό μέσο που λειτουργεί

Μόλις λειτουργήσει ένας συνδυασμός, γράψτε τον μαζί με τον διακομιστή, τη θύρα και το πρωτόκολλο, και σημειώστε από ποιο δίκτυο δοκιμάστηκε.

Αλλιώς ο επόμενος που θα συναντήσει λήξη χρόνου θα δοκιμάσει το ίδιο πείραμα προς την άλλη κατεύθυνση και ίσως αλλάξει έναν διακομιστή που ήταν εντάξει.

Αν ο πάροχος δημοσιεύει και τις δύο παραλλαγές, κρατήστε και τα δύο αρχεία και χαρακτηρίστε τα κατά το δίκτυο για το οποίο ταιριάζουν. Δύο σαφώς ονομασμένα προφίλ εμποδίζουν την τυχαία ανάμειξη ενός μεταφορικού μέσου πελάτη με έναν ακροατή διακομιστή που δεν ρυθμίστηκε ποτέ γι' αυτό.