OpenVPN Connect wiist fragment ôf: meitsje de profylboarne yn oarder

De flater komt by de ynfier, foarôfgeand oan hokker ûnderhanneling dan ek, en neamt in rjochtynje dy’t de klant wegeret te akseptearjen. OpenVPN Connect draait bibleteekkoade fan OpenVPN 3, dy’t de fragment-opsje fan de mienskipsklant hielendal net ymplemintearret. Dat makket der in kompatibiliteitsfraach oer twa einen fan, net in ôfstimmingsfraach oer pakketgrutte.

It fuortheljen fan de rigel leveret in bestân dat de klant parset, en in server dy’t it formaat dat de rigel beskreau miskien noch ferwachtet. Wurket dat fan it ynfierskerm nei bûten ta troch foardatsto eat bewurkest.

Wêr’t de ynfier stopt

De ynfierder parset rjochtynjes foardat er kontakt opnimt mei de server, dus in wegering dêr is in pleatslike beslissing oer syntaksis en net in netwurkresultaat, en de list fan net-stipe rjochtynjes fan OpenVPN registrearret deselde beheining. Dat ferklearret hoe’t ien bestân yn de mienskipsklant wurkje kin en yn Connect mislearje op deselde masine. Lês yn de melding de namme fan de rjochtynje en bewarje it orizjinele bestân, want dy tekst is it iennige bewiis fan wat de klant beswier makke hat. In ynfierflater en in ferbiningstimeout komme út ferskate fazen en fertsjinje ferskate antwurden.

As de melding fragment neamt, bliuwt de fraach oft de server der ek fan ôfhinklik is. Beäntwurdzje dat foardatsto it profyl oanrekest datst krigen hast.

Wat fragment yn de mienskipsklant feroaret

Yn de mienskipsklant skeakelet de rjochtynje OpenVPN syn eigen datagramfragmintaasje yn, dy’t ladingen splitst foardat se de bûtenste IP-laach berikke. It bestiet om paden te oerlibjen dy’t grutte UDP-datagrammen falle litte en om in tunnel brûkber te hâlden dêr’t net op paad-MTU-ûntdekking fertroud wurde kin. It is net in synonym foar it ferleegjen fan de ynterface-MTU, en it is gjin IP-nivo-fragmintaasje troch it bestjoeringssysteem. In klant sûnder it meganisme kin it net krije troch in nûmer te ferleegjen.

Om’t de ynstelling ek yn de serverkonfiguraasje sit, feroaret it fuortheljen derfan út dyn kopy allinne dyn kant. De server ferwachtet miskien noch in partner dy’t de opsje begrypt, en in profyl dat parset is noch gjin sesje dy’t ta stân komt. Dy twa feiten ferklearje de betiizjende tuskenstân wêryn’t in bewurke bestân ferbynt en dan fêst rint.

Freegje om in profyl dat foar dizze klant boud is

De skjinne rûte is in twadde profyl dat foar OpenVPN Connect dokumintearre is, as de tsjinst der ien publisearret. In protte providers dogge dat, en it ferskil sit meast yn de rjochtynjes dy’t se weilitte, net yn it einpunt dêr’t se nei wize. Freegje derom by de klantnamme ynstee fan de flater te beskriuwen, want in stypjebalje kin in profyl folle flugger oan in klant keppelje as in strippele bestân diagnostisearje.

As do de server beheart, is de beslissing breder as dyn eigen klant. Fragmintaasje útskeakelje rekket elke partner, ek dyjingen dy’t it nedich hienen om ferbûn te bliuwen oer in minne rûte. It publisearjen fan in twadde listener of in twadde konfiguraasje foar de troffen klant hâldt besteande brûkers oan it wurk wylst de nijere klant eat krijt dat er parset. Hoe’tsto it ek oanpakst, skriuw op hokker konfiguraasje hokker klant betsjinnet, want dy keppeling ferdwynt oars fluch.

Kontrolearje de ferbining, net allinne de ynfier

In suksesfolle ynfier bewiist allinne dat de parser it bestân akseptearre hat. Set de tunnel op mei de mienskipsklant op in masine dy’tsto behearst, mei itselde profyl, en lês it log foar ferfier- en syfferûnderhanneling. De opdrachten hjirûnder dogge dat sûnder dat de buroblêdapplikaasje yn de wei stiet.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

It log lit sjen wêr’t de poging stoppe: in opsjeflater ferskynt foar hokker TLS-útwikseling dan ek, wylst in autentikaasje- of syfferflater dêrnei ferskynt. As de tunnel omheech komt en it fersyk dochs mislearret, is it probleem fan kompatibiliteit nei rûtering ferhuze. Fergelykje dat mei it hâlden en dragen fan Connect op itselde netwurk foardatsto eat oer de server konkludearrest.

Hâld it wurkjende profyl en de klantferzje njonken de notysje. In takomstige klantútjefte kin stipe foar in rjochtynje tafoegje, en dat feroaret it antwurd sûnder dat immen de server oanrekket.