OpenVPN Connect rechaza fragment: arregle el origen del perfil

El error llega en la importación, antes de cualquier negociación, y nombra una directiva que el cliente se niega a aceptar. OpenVPN Connect ejecuta código de la biblioteca OpenVPN 3, que no implementa en absoluto la opción fragment del cliente comunitario. Eso convierte el asunto en una cuestión de compatibilidad entre dos extremos y no en una cuestión de ajuste del tamaño de paquete.

Borrar la línea produce un archivo que el cliente analizará y un servidor que quizá siga esperando el formato que describía esa línea. Recorra el problema desde la pantalla de importación hacia fuera antes de tocar nada.

Dónde se detiene la importación

El importador analiza las directivas antes de contactar con el servidor, así que un rechazo ahí es una decisión local sobre sintaxis y no un resultado de red, y la lista de directivas no admitidas de OpenVPN registra la misma limitación. Eso explica cómo un mismo archivo puede funcionar en el cliente comunitario y fallar en Connect en la misma máquina. Lea el mensaje para saber el nombre de la directiva y guarde el archivo original, porque ese texto es la única prueba de qué objetó el cliente. Un error de importación y un tiempo de espera de conexión vienen de etapas distintas y merecen respuestas distintas.

Si el mensaje nombra fragment, queda la pregunta de si el servidor también depende de él. Responda eso antes de tocar el perfil que le han dado.

Qué cambia fragment en el cliente comunitario

En el cliente comunitario, la directiva activa la fragmentación de datagramas propia de OpenVPN, que divide las cargas antes de que lleguen a la capa IP exterior. Existe para sobrevivir a rutas que descartan datagramas UDP grandes y para mantener un túnel usable donde no se puede confiar en el descubrimiento de la MTU de la ruta. No es sinónimo de bajar la MTU de la interfaz, ni es la fragmentación a nivel de IP que hace el sistema operativo. Un cliente que carece del mecanismo no lo adquiere bajando un número.

Como el ajuste también vive en la configuración del servidor, quitarlo de su copia solo cambia su lado. El servidor quizá siga esperando un par que entienda la opción, y un perfil que se analiza aún no es una sesión que se establece. Esos dos hechos explican el confuso estado intermedio en el que un archivo editado conecta y luego se atasca.

Pida un perfil creado para este cliente

La vía limpia es un segundo perfil documentado para OpenVPN Connect, si el servicio publica uno. Muchos proveedores lo hacen, y la diferencia suele estar en las directivas que omiten y no en el extremo al que apuntan. Pídalo por el nombre del cliente en lugar de describir el error, ya que un servicio de soporte puede emparejar un perfil con un cliente mucho más rápido que diagnosticar un archivo despojado.

Si usted administra el servidor, la decisión es más amplia que su propio cliente. Desactivar la fragmentación afecta a todos los pares, incluidos los que la necesitaban para seguir conectados por una ruta mala. Publicar un segundo escucha o una segunda configuración para el cliente afectado mantiene funcionando a los usuarios existentes mientras el cliente más nuevo recibe algo que puede analizar. Sea como sea, anote qué configuración sirve a qué cliente, porque esa correspondencia desaparece rápido si no.

Verifique la conexión, no solo la importación

Una importación correcta solo demuestra que el analizador aceptó el archivo. Establezca el túnel con el cliente comunitario en una máquina que controle, con el mismo perfil, y lea el registro para la negociación de transporte y de cifrado. Los comandos de abajo lo hacen sin la aplicación de escritorio en medio.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

El registro muestra dónde se detuvo el intento: un error de opción aparece antes de cualquier intercambio TLS, mientras que un fallo de autenticación o de cifrado aparece después. Si el túnel sube y la petición sigue fallando, el problema pasó de la compatibilidad al enrutamiento. Compárelo con el comportamiento de Connect en la misma red antes de concluir nada sobre el servidor.

Guarde el perfil que funciona y la versión del cliente junto a la nota. Una futura versión del cliente puede añadir compatibilidad con una directiva, y eso cambia la respuesta sin que nadie toque el servidor.