OpenVPN Connect hylkää fragmentin: korjaa profiilin lähde

Virhe tulee tuonnin yhteydessä, ennen mitään neuvottelua, ja nimeää direktiivin, jota asiakas kieltäytyy hyväksymästä. OpenVPN Connect ajaa OpenVPN 3 -kirjastokoodia, joka ei toteuta yhteisöasiakkaan fragment-vaihtoehtoa lainkaan. Se tekee tästä kahden päätepisteen yhteensopivuuskysymyksen eikä paketin koon virityskysymyksen.

Rivin poistaminen tuottaa tiedoston, jonka asiakas jäsentää, ja palvelimen, joka voi yhä odottaa sitä muotoa, jota rivi kuvasi. Käy se läpi tuontinäytöstä ulospäin ennen kuin muokkaat mitään.

Mihin tuonti pysähtyy

Tuontiohjelma jäsentää direktiivit ennen kuin se ottaa yhteyttä palvelimeen, joten hylkäys siellä on syntaksia koskeva paikallinen päätös eikä verkkotulos, ja OpenVPN:n tukemattomien direktiivien luettelo kirjaa saman rajoituksen. Se selittää, miten yksi tiedosto voi toimia yhteisöasiakkaassa ja epäonnistua Connectissa samalla koneella. Lue viestistä direktiivin nimi ja säilytä alkuperäinen tiedosto, koska se teksti on ainoa todiste siitä, mitä asiakas vastusti. Tuontivirhe ja yhteyden aikakatkaisu tulevat eri vaiheista ja ansaitsevat erilaiset vastaukset.

Jos viesti nimeää fragmentin, jäljelle jää kysymys siitä, riippuuko myös palvelin siitä. Vastaa siihen ennen kuin kosket saamaasi profiiliin.

Mitä fragment muuttaa yhteisöasiakkaassa

Yhteisöasiakkaassa direktiivi ottaa käyttöön OpenVPN:n oman datagrammien pirstomisen, joka jakaa hyötykuorman ennen kuin se saavuttaa ulomman IP-kerroksen. Se on olemassa, jotta suuret UDP-datagrammit pudottavat reitit selvitetään ja jotta tunneli pysyy käyttökelpoisena siellä, missä reitin MTU:n selvitykseen ei voi luottaa. Se ei ole synonyymi liitännän MTU:n laskemiselle, eikä se ole käyttöjärjestelmän tekemä IP-tason pirstominen. Asiakas, jolta mekanismi puuttuu, ei saa sitä lukua laskemalla.

Koska asetus on myös palvelimen kokoonpanossa, sen poistaminen kopiostasi muuttaa vain sinun puoltasi. Palvelin voi yhä odottaa vastapuolta, joka ymmärtää vaihtoehdon, eikä jäsentyvä profiili ole vielä istunto, joka muodostuu. Nämä kaksi seikkaa selittävät hämmentävän välitilan, jossa muokattu tiedosto yhdistää ja sitten juuttuu.

Pyydä tälle asiakkaalle tehty profiili

Puhdas reitti on toinen, OpenVPN Connectille dokumentoitu profiili, jos palvelu julkaisee sellaisen. Monet tarjoajat tekevät niin, ja ero on yleensä direktiiveissä, jotka he jättävät pois, ei päätepisteessä, johon he osoittavat. Pyydä sitä asiakkaan nimellä sen sijaan, että kuvailisit virhettä, sillä tuki voi sovittaa profiilin asiakkaaseen paljon nopeammin kuin diagnosoida riisutun tiedoston.

Jos sinä ylläpidät palvelinta, päätös on laajempi kuin oma asiakkaasi. Pirstomisen pois kytkeminen vaikuttaa jokaiseen vastapuoleen, myös niihin, jotka tarvitsivat sitä pysyäkseen yhteydessä huonolla reitillä. Toisen kuuntelijan tai toisen kokoonpanon julkaiseminen kärsineelle asiakkaalle pitää nykyiset käyttäjät toiminnassa, kun uudempi asiakas saa jotain, mitä se voi jäsentää. Miten tahansa teet, kirjoita ylös, mikä kokoonpano palvelee mitä asiakasta, koska se vastaavuus katoaa muuten nopeasti.

Varmista yhteys, älä vain tuontia

Onnistunut tuonti todistaa vain sen, että jäsennin hyväksyi tiedoston. Perusta tunneli yhteisöasiakkaalla koneella, jota hallitset, samalla profiililla, ja lue loki kuljetuksen ja salauksen neuvottelua varten. Alla olevat komennot tekevät sen ilman, että työpöytäsovellus on tiellä.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Loki näyttää, mihin yritys pysähtyi: vaihtoehtovirhe näkyy ennen mitään TLS-vaihtoa, kun taas todennus- tai salausvirhe näkyy sen jälkeen. Jos tunneli nousee ja pyyntö epäonnistuu silti, ongelma siirtyi yhteensopivuudesta reititykseen. Vertaa sitä Connectin käyttäytymiseen samassa verkossa ennen kuin päättelet palvelimesta mitään.

Pidä toimiva profiili ja asiakasversio muistiinpanon vieressä. Tuleva asiakasversio voi lisätä tuen direktiiville, ja se muuttaa vastausta ilman, että kukaan koskee palvelimeen.