OpenVPN Connect rexeita fragment: arranxe a orixe do perfil

O erro chega na importación, antes de calquera negociación, e nomea unha directiva que o cliente se nega a aceptar. OpenVPN Connect executa código da biblioteca OpenVPN 3, que non implementa en absoluto a opción fragment do cliente comunitario. Iso converte o asunto nunha cuestión de compatibilidade entre dous extremos e non nunha cuestión de axuste do tamaño do paquete.

Borrar a liña produce un ficheiro que o cliente analizará e un servidor que quizais siga esperando o formato que describía esa liña. Percorra o problema desde a pantalla de importación cara a fóra antes de tocar nada.

Onde se detén a importación

O importador analiza as directivas antes de contactar co servidor, así que un rexeitamento alí é unha decisión local sobre sintaxe e non un resultado de rede, e a lista de directivas non admitidas de OpenVPN rexistra a mesma limitación. Iso explica como un mesmo ficheiro pode funcionar no cliente comunitario e fallar en Connect na mesma máquina. Lea a mensaxe para saber o nome da directiva e conserve o ficheiro orixinal, porque ese texto é a única proba do que o cliente obxectou. Un erro de importación e un tempo de espera de conexión veñen de etapas distintas e merecen respostas distintas.

Se a mensaxe nomea fragment, queda a pregunta de se o servidor tamén depende del. Responda iso antes de tocar o perfil que lle deron.

Que cambia fragment no cliente comunitario

No cliente comunitario, a directiva activa a fragmentación de datagramas propia de OpenVPN, que divide as cargas antes de que cheguen á capa IP exterior. Existe para sobrevivir a rutas que descartan datagramas UDP grandes e para manter un túnel utilizábel onde non se pode confiar no descubrimento da MTU da ruta. Non é sinónimo de baixar a MTU da interface, nin é a fragmentación a nivel de IP que fai o sistema operativo. Un cliente que carece do mecanismo non o adquire baixando un número.

Como o axuste tamén vive na configuración do servidor, quitalo da súa copia só cambia o seu lado. O servidor quizais siga esperando un par que entenda a opción, e un perfil que se analiza aínda non é unha sesión que se establece. Eses dous feitos explican o estado intermedio confuso no que un ficheiro editado conecta e despois atasca.

Pida un perfil creado para este cliente

A vía limpa é un segundo perfil documentado para OpenVPN Connect, se o servizo publica un. Moitos provedores fan iso, e a diferenza adoita estar nas directivas que omiten e non no extremo ao que apuntan. Pídao polo nome do cliente en lugar de describir o erro, xa que un servizo de asistencia pode emparellar un perfil cun cliente moito máis rápido que diagnosticar un ficheiro espido.

Se vostede administra o servidor, a decisión é máis ampla que o seu propio cliente. Desactivar a fragmentación afecta todos os pares, incluídos os que a necesitaban para seguir conectados por unha ruta mala. Publicar un segundo escoitador ou unha segunda configuración para o cliente afectado mantén funcionando os usuarios existentes mentres o cliente máis novo recibe algo que pode analizar. Sexa como sexa, anote que configuración serve a que cliente, porque esa correspondencia desaparece rápido se non.

Verifique a conexión, non só a importación

Unha importación correcta só demostra que o analizador aceptou o ficheiro. Estableza o túnel co cliente comunitario nunha máquina que controle, co mesmo perfil, e lea o rexistro para a negociación de transporte e de cifrado. Os comandos de abaixo fan iso sen a aplicación de escritorio polo medio.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

O rexistro mostra onde se detivo o intento: un erro de opción aparece antes de calquera intercambio TLS, mentres que un fallo de autenticación ou de cifrado aparece despois. Se o túnel sobe e a petición segue fallando, o problema pasou da compatibilidade ao encamiñamento. Compare iso co comportamento de Connect na mesma rede antes de concluír nada sobre o servidor.

Garde o perfil que funciona e a versión do cliente xunto á nota. Unha futura versión do cliente pode engadir compatibilidade cunha directiva, e iso cambia a resposta sen que ninguén toque o servidor.