OpenVPN se ne spaja na hotelski Wi-Fi? Probajte TCP 443

Otvorite klijent, pritisnite Poveži i čitajte statusni redak umjesto dijaloga koji slijedi. Profil koji nakon hotelske, kampusske ili mobilne mreže zapne na Povezivanje ili Čekanje poslužitelja obično je negdje na putu izgubio svoj prijenosni sloj, a ne svoje vjerodajnice. Koristan sljedeći korak je saznati što ta mreža prenosi prije nego dirnete poslužitelj. Ne mijenjajte ništa dok isti profil ne proradi negdje drugdje.

Prvo testirajte s pristupne točke na telefonu. Ako tunel tamo uspostavi vezu, poslužitelj, certifikat i račun su u redu, a jedina preostala varijabla je mreža pred vama.

Počnite na klijentu: pročitajte statusni redak

Statusni redak govori koja je faza zakazala. Klijent zaglavljen na Povezivanje još razrješava ime poslužitelja ili otvara vanjski utičnicu; onaj koji dođe do Čekanje poslužitelja ima put, ali nema odgovora; onaj koji se autentificira i zatim padne ima posve drugi problem. Zapisnik klijenta i vlastita polja remote i proto u profilu pokazuju što klijent pokušava, a --verb 4 na klijentu iz naredbenog retka ispisuje isti detalj. Usporedba toga s mrežom pred vama pretvara tvrdnju da je VPN blokiran u konkretnu izjavu.

Zatim ispitajte mrežu alatima koje već imate. nc -vzu 203.0.113.10 1194 šalje UDP datagram, curl -v telnet://203.0.113.10:443 izvješćuje završava li TCP rukovanje, a preglednik koji učita HTTPS stranicu dokazuje samo da izlazni 443 dolazi do tog jednog poslužitelja. Mala ispitivanja odgovaraju na ono što VPN klijent ne može: koji port i koji protokol uopće izlaze iz te mreže.

Tri mrežna ponašanja izgledaju slično s klijenta i traže različite odgovore. Izlazni 443 može biti otvoren, može biti dopušten samo proxy, ili se 443 može prozirno prosljeđivati u inspekcijski uređaj koji ne može pročitati što prenosi. Prvo se rješava promjenom profila u nastavku, drugo proxy postavkama, a treće može dovršiti rukovanje i zatim zapeti kad inspektor zaključi da mu se tok ne sviđa. Znanje o tome koje od troje imate pred sobom razlika je između promjene od deset minuta i poslijepodneva reinstaliranja klijenata.

Premjestite slušač i profil zajedno

Na strani poslužitelja postavite slušač na ono što mreža dopušta: port 443 i proto tcp u konfiguraciji poslužitelja, zatim ponovno pokrenite uslugu i potvrdite utičnicu s ss -lntp. Na strani klijenta profil se mora složiti, jer prijenosni sloj i port stoje izvan tunela: proto tcp i port 443 u .ovpn datoteci ili odgovarajuća polja na zaslonu postavki aplikacije. Profil koji još cilja na UDP 1194 zatajit će točno kao prije, a iskušenje je okriviti vatrozid koji je već popravljen. Ako isti poslužitelj odgovara i na HTTPS na 443, dva slušača ne mogu dijeliti tu adresu i protokol; dajte VPN-u drugu adresu ili ispred stavite demultiplekser.

Popratite prvu vezu s tcpdump -ni any port 443 na oba kraja. Paketi koji napuste klijent i nikada ne stignu znače da mreža ipak filtrira, ili da adresa u profilu nije ona koju pretpostavljate. Paketi koji stignu bez odgovora vraćaju vas na zapisnik poslužitelja, gdje se nesklad protokola odmah pokaže kao odbačen paket.

Kad samo proxy izlazi iz mreže

Neke gostujuće mreže ne dopuštaju ništa osim HTTP proxyja, što je drukčije ograničenje od zatvorenog porta i isključuje više od OpenVPN-a. Klijenti koji govore samo PPTP, L2TP/IPsec ili goli IPsec nemaju kuda kroz njega, jer ti dizajni očekuju da njihov vanjski protokol stigne izravno do poslužitelja. OpenVPN može, s http-proxy proxy.example.net 8080 u profilu klijenta, pod uvjetom da proxy dopušta metodu CONNECT prema vašem portu. SOCKS proxy je još lakši, jer prosljeđuje tok ne mareći što je unutra.

Gdje klijent nema podršku za proxy, SSH tunel preko 443 obično je ono što ostaje. Dodaje drugi sloj, a upravitelj mreže može imati mišljenje o tome, pa ga tretirajte kao most za jedno putovanje, a ne kao arhitekturu.

Izračunajte cijenu pričuve prije nego je zadržite

TCP unutar TCP-a ima poznatu cijenu. Kad je vanjska veza TCP, a korisni teret također TCP, izgubljeni segment pokreće ponovno slanje na oba sloja, a unutarnja veza uzmiče pred gubitkom koji ne može vidjeti. Pregledavanje to preživi; interaktivne sesije i pozivi to osjete. Zadržite slušač TCP 443 kao pričuvu za mreže koje ga traže, a UDP ostavite kao zadano za sve što ga još propušta.

Zapišite odluku u naziv profila i u napomene za podršku: koji port, koji protokol i koja mreža ga je potaknula. Zatim pitajte administratora mreže hoće li taj port ostati otvoren nakon sljedeće zamjene opreme, jer pričuva koja tiho nestane gora je od nikakve pričuve.