OpenVPN ei ühendu hotelli Wi-Fi võrgus? Proovige TCP 443

Avage klient, vajutage Connect ja lugege olekuriba, mitte pärast seda avanevat dialoogi. Profiil, mis takerdub pärast hotelli-, ülikoolilinna- või mobiilivõrku olekusse Connecting või Waiting for server, on tavaliselt kaotanud oma transpordi kuskil teel, mitte oma mandaadid. Kasulik järgmine samm on teada saada, mida see võrk kannab, enne kui serverit puudutate. Ärge muutke midagi, kuni sama profiil on mujal töötanud.

Testige esmalt telefoni hotspotist. Kui tunnel seal püsti tuleb, on server, sertifikaat ja konto korras ning ainus järelejäänud muutuja on võrk teie ees.

Alustage kliendist: lugege olekuriba

Olekuriba ütleb, millises etapis viga tuli. Kliendil, mis on kinni jäänud olekusse Connecting, käib veel hostinime lahendamine või välissoketi avamine; see, mis jõuab olekusse Waiting for server, omab teed, aga mitte vastust; see, mis autendib ja siis katkeb, omab hoopis teist probleemi. Kliendi logi ja profiili enda väljad remote ja proto näitavad, mida klient üritab teha, ning --verb 4 käsureakliendis trükib samad üksikasjad. Just võrdlus teie ees oleva võrguga muudab väite «VPN on blokeeritud» konkreetseks väiteks.

Seejärel uurige võrku tööriistadega, mis teil juba on. nc -vzu 203.0.113.10 1194 saadab UDP-datagrammi, curl -v telnet://203.0.113.10:443 teatab, kas TCP-kätlus lõpule jõuab, ja brauser, mis laeb HTTPS-lehe, tõestab vaid seda, et väljuv 443 jõuab sellesse ühte hosti. Väikesed katsed vastavad sellele, mida VPN-klient ei suuda: milline port ja protokoll üldse sellest võrgust väljuvad.

Kolm võrgukäitumist näevad kliendi poolt sarnased välja ja nõuavad erinevaid vastuseid. Väljuv 443 võib olla avatud, lubatud võib olla ainult puhverserver, või 443 võidakse läbipaistvalt suunata kontrollkasti, mis ei suuda lugeda, mida see kannab. Esimest parandab allpool profiili muutmine, teist puhverserveri seaded, ja kolmas võib kätluse lõpule viia ning siis takerduda, kui inspektor otsustab, et talle see voog ei meeldi. Teadmine, millisega neist kokku puutute, on vahe kümme minutit kestva muudatuse ja klientide uuesti paigaldamisega veedetud pärastlõuna vahel.

Liigutage kuulajat ja profiili koos

Serveri poolel seadke kuulaja sellele, mida võrk lubab: port 443 ja proto tcp serveri konfiguratsioonis, seejärel taaskäivitage teenus ja kinnitage socket käsuga ss -lntp. Kliendi poolel peab profiil nõustuma, sest transport ja port asuvad tunnelist väljas: proto tcp ja port 443 failis .ovpn või vastavad väljad rakenduse seadete ekraanil. Profiil, mis sihib endiselt UDP 1194, ebaõnnestub täpselt nagu enne, ja kiusatus on süüdistada tulemüüri, mis on juba parandatud. Kui sama host vastab ka HTTPS-ile pordil 443, ei saa kaks kuulajat seda aadressi ja protokolli jagada; andke VPN-ile teine aadress või asetage ette demultiplekser.

Jälgige esimest ühendust käsuga tcpdump -ni any port 443 mõlemas otsas. Paketid, mis väljuvad kliendist ega jõua kunagi kohale, tähendavad, et võrk siiski filtreerib, või et profiilis olev aadress ei ole see, mida eeldate. Vastuseta saabuvad paketid saadavad teid tagasi serveri logi juurde, kus protokolli mittevastavus ilmub kohe kõrvalejäetud paketina.

Kui võrgust väljub ainult puhverserver

Mõned külalisvõrgud ei luba muud kui HTTP-puhverserver, mis on teistsugune piirang kui suletud port ja välistab rohkem kui OpenVPN. Kliendid, kes räägivad ainult PPTP, L2TP/IPsec või palja IPseciga, ei pääse sellest läbi, sest need lahendused eeldavad, et nende väline protokoll jõuab serverini otse. OpenVPN suudab, kui kliendiprofiilis on http-proxy proxy.example.net 8080, tingimusel et puhverserver lubab teie pordile CONNECT-meetodit. SOCKS-puhverserver on veelgi lihtsam, sest see edastab voo hoolimata sellest, mis seal sees on.

Kui kliendil puudub puhverserveri tugi, jääb tavaliselt alles SSH-tunnel üle 443. See lisab teise kihi ja võrgu operaatoril võib selle kohta oma arvamus olla, seega käsitlege seda ühe reisi sillana, mitte arhitektuurina.

Arvutage varuvariandi hind enne, kui selle alles jätate

TCP TCP sees on teadaoleva hinnaga. Kui välimine ühendus on TCP ja koormus samuti TCP, käivitab kadunud segment kordussaatmise mõlemas kihis ning sisemine ühendus tõmbub tagasi kaotusest, mida see ei näe. Veebilehitsemine elab selle üle; interaktiivsed sessioonid ja kõned tunnetavad seda. Hoidke TCP 443 kuulajat varuvariandina võrkudele, mis seda nõuavad, ja jätke UDP vaikeväärtuseks kõigele, mis seda veel läbi laseb.

Kirjutage valik profiili nimesse ja klienditoe märkmetesse: milline port, milline protokoll ja milline võrk selle tingis. Seejärel küsige võrgu administraatorilt, kas see port jääb avatuks pärast järgmist seadmete uuendust, sest vaikselt kaduv varuvariant on hullem kui selle puudumine.