proto udp või tcp-client: kumba sinu server kuuleb?

Profiil, mis eelmisel kuul toimis, aegub nüüd ja keegi soovitab vahetada proto udp vasteks proto tcp-client. Mõnikord on see õige samm, mõnikord loob see kliendi, mis ühendub pordiga, kus miski ei kuula, sest serverit ei seadistatud kunagi teise transpordi jaoks. Direktiiv kirjeldab, kuidas sinu pool räägib; see ei saa teises otsas kuulajat luua. Loe profiili ja serverit koos, enne kui muudad kumbagi.

Loe transport, mida valitud ühendus kasutab

Profiil võib kanda mitut remote-kirjet ja igaüks neist võib nimetada oma transpori. Klient töötab need järjest läbi, seega rida, mida näed esimesena, ei pruugi olla see, mis kehtib.

Leia kirje, mida tegelikult proovitakse, ja loe siis selle transport. Järjekord on oluline, sest klient ei liigu edasi vaikselt. Mõned buildid proovivad järgmist kirjet alles pärast ajalõppu, seega toimiv alternatiiv faili lõpus jõutakse sekundeid hiljem, kui ootad. Jälgi logis, millist lõpp-punkti proovitakse, selle asemel et eeldada, et esimene rida võitis.

Kui failis on üks proto rida ülaosas ja selle all mitu remote-kirjet, on see rida vaikeväärtus iga remote'i jaoks, mis seda ei tühista. Kohalik muudatus vaikeväärtuses ei tee midagi remote-kirje jaoks, mis nimetab oma transpori.

grep -nE '^(remote|proto)\b' client.ovpn

UDP ja TCP ei ole kiiruse seade

UDP saadab datagramme ilma järjestatud voogu ehitamata, seega tunneli enda liiklust ei pakita teise usaldusväärse transpordi sisse. TCP annab sulle tee läbi võrkude, mis pillavad või blokeerivad UDP-d, kuid selle hinnaks on pesastatud kordussaadetised, mis võivad kadudega lingi veel hullemaks muuta.

See on kättesaadavuse vahetus, mitte universaalne edetabel. Õige valik on see, mida klienti ees olev võrk lubab. Tee, mis pillab UDP-d VPN-pordil, ei jõua kunagi kokkuleppele, ükskõik kui hästi profiil kirjutatud on. Testi teed ja vali siis transport.

Nende vahel ainult mõõtmise põhjal valimine on viga, sest vastus sõltub sellest, mida sinu ees olev võrk lubab. Hotell või ettevõtte puhverserver võib lubada väljuvat TCP-d pordil 443 ja mitte midagi muud, mistõttu pakkujad seda varianti pakuvad. See jääb OpenVPN ühenduseks sellel pordil, mitte HTTPS-sessiooniks, isegi kui pordi number on tuttav.

Mida tcp-client tegelikult tähendab

Kliendipoolne direktiiv nimetab TCP-ühenduse algatavat otsa. Serveripool kasutab oma kuulamise vormi ja kliendi sõna kopeerimine serveri konfiguratsiooni loob kuulaja, mis ootab, et talle helistatakse, mitte sellise, mis võtab vastu.

Sobivus tähendab, et kaks otsa lepivad kokku transpordi osas, mitte et nad jagavad sama stringi.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Küsi serverilt, mida see kuulab, enne kui eeldad, et profiil on vale. UDP kuulaja ei ilmu TCP soklite loendis ja vastupidi on samuti tõsi, seega vaata protokollipõhist vaadet, mitte üldist.

Kui profiil imporditakse, aga see ei ühendu kunagi

Kohe aeguv imporditud profiil ebaõnnestub tavaliselt enne igasugust autentimist. Pakett läheb pordile, kus pole kuulajat, või võrk pillab selle vaikselt.

Testi teed kõige lihtsamal viisil: ühendu sama hosti ja pordiga selle transpordiga, mida profiil väidab, samast võrgust kui ebaõnnestuv klient.

Kui UDP-test ei saa midagi ja TCP-test ühendub, pakub server teist transporti ja profiil on lihtsalt aegunud. Kui kumbki ei vasta, on probleem transpordivalikust kõrgemal ja ükski profiili muudatus ei paranda seda. Nende kahe juhtumi eristamine võtab minuti ja säästab tunni sertifikaatide silumist, mis polnud kunagi asjakohane.

Kirjuta toimiv transport üles

Kui kombinatsioon töötab, kirjuta see üles koos serveri, pordi ja protokolliga ning märgi, millisest võrgust seda testiti.

Muidu proovib järgmine inimene, kes ajalõppu tabab, sama katset vastupidises suunas ja võib-olla muudab serverit, mis oli korras.

Kui pakkuja avaldab mõlemad variandid, hoia mõlemad failid alles ja märgista need võrgu järgi, millele need sobivad. Kaks selgelt nimetatud profiili hoiavad ära kliendi transpordi juhusliku segunemise serveri kuulajaga, mida selle jaoks kunagi ei seadistatud.