proto udp vagy tcp-client: melyiket hallja a szervered?

Egy múlt hónapban működő profil most időtúllépésbe fut, és valaki azt javasolja, hogy cseréld le a proto udp beállítást proto tcp-client-re. Néha ez a helyes lépés, néha viszont olyan kliens keletkezik, amely olyan portra csatlakozik, ahol semmi sem figyel, mert a szervert soha nem állították be a másik átviteli módra. A direktíva azt írja le, hogyan beszél a te oldalad; nem tud figyelőt létrehozni a másik oldalon. Olvasd el a profilt és a szervert együtt, mielőtt bármelyiket módosítanád.

Olvasd el, milyen átviteli módot használ a kiválasztott kapcsolat

Egy profil több remote bejegyzést is tartalmazhat, és mindegyik megnevezheti a saját átviteli módját. A kliens sorrendben halad rajtuk, ezért az elsőként látott sor nem feltétlenül az, amelyik érvényes.

Keresd meg azt a bejegyzést, amelyet valóban próbál, majd olvasd el az átviteli módját. A sorrend számít, mert a kliens nem lép tovább csendben. Egyes buildek csak időtúllépés után próbálják a következő bejegyzést, ezért a fájl alján lévő működő alternatíva néhány másodperccel később érhető el, mint várod. Figyeld a naplóban, melyik végpontot próbálja, ahelyett hogy feltételeznéd, hogy az első sor nyert.

Ha a fájlban egy proto sor van a teteje közelében, és alatta több remote bejegyzés, akkor az a sor az alapértelmezés minden olyan remote számára, amely nem írja felül. Az alapértelmezés helyi módosítása semmit sem tesz azért a remote bejegyzésért, amely a saját átviteli módját nevezi meg.

grep -nE '^(remote|proto)\b' client.ovpn

Az UDP és a TCP nem sebességbeállítás

Az UDP rendezett folyam építése nélkül küld datagramokat, ezért az alagút saját forgalma nem csomagolódik egy második megbízható átviteli módba. A TCP utat ad olyan hálózatokon át, amelyek eldobják vagy blokkolják az UDP-t, cserébe beágyazott újraküldésért, amely egy veszteséges kapcsolatot rosszabbnak éreztethet.

Ez elérhetőségi csere, nem egyetemes rangsor. A helyes választás az, amelyet a kliens előtti hálózat enged. Az az út, amely eldobja az UDP-t a VPN-porton, soha nem fog megegyezni, bármilyen jól is van megírva a profil. Teszteld az utat, aztán válaszd ki az átviteli módot.

A kettő közötti választás pusztán mérés alapján hiba, mert a válasz attól függ, mit enged a hálózat előtted. Egy hotel vagy vállalati proxy engedélyezheti a kimenő TCP-t a 443-as porton és semmi mást, ezért kínálják a szolgáltatók ezt a változatot. Ez továbbra is OpenVPN kapcsolat ezen a porton, nem HTTPS-munkamenet, még akkor is, ha a portszám az ismerős.

Mit jelent valójában a tcp-client

A kliensoldali direktíva a TCP-kapcsolatot kezdeményező véget nevezi meg. A szerveroldal a saját figyelő formáját használja, és a kliens szavának szerverkonfigurációba másolása olyan figyelőt hoz létre, amely arra számít, hogy hívják, nem olyat, amely elfogad.

Az egyezés azt jelenti, hogy a két vég megegyezik az átviteli módban, nem azt, hogy ugyanazt a karakterláncot használják.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Kérdezd meg a szervert, min figyel, mielőtt feltételeznéd, hogy a profil rossz. Az UDP-figyelő nem jelenik meg a TCP-csocketek listájában, és fordítva is igaz, ezért a protokollspecifikus nézetet nézd, ne egy általánost.

Amikor a profil importálható, de soha nem csatlakozik

Az azonnal időtúllépésbe futó importált profil általában bármilyen hitelesítés előtt meghiúsul. A csomag olyan portra megy, ahol nincs figyelő, vagy a hálózat csendben eldobja.

Teszteld az utat a legegyszerűbb módon: csatlakozz ugyanahhoz a gazdagéphez és porthoz azzal az átviteli móddal, amelyet a profil állít, ugyanabból a hálózatból, mint a meghiúsuló kliens.

Ha egy UDP-teszt semmit sem kap, és egy TCP-teszt csatlakozik, a szerver a másik átviteli módot kínálja, és a profil egyszerűen elavult. Ha egyik sem válaszol, a probléma az átviteli mód választása felett van, és a profil semmilyen módosítása nem javítja meg. E két eset megkülönböztetése egy percet vesz igénybe, és egy óra tanúsítvány-hibakeresést takarít meg, amely soha nem volt releváns.

Jegyezd fel a működő átviteli módot

Ha egy kombináció működik, írd fel a szerverrel, porttal és protokollal együtt, és jegyezd meg, melyik hálózatból tesztelted.

Különben a következő ember, aki időtúllépésbe fut, ugyanezt a kísérletet próbálja ki a másik irányban, és esetleg megváltoztat egy szervert, amely rendben volt.

Ha a szolgáltató mindkét változatot közzéteszi, tartsd meg mindkét fájlt, és címkézd meg aszerint, melyik hálózathoz illenek. Két világosan elnevezett profil megakadályozza a kliens átviteli módjának véletlen összekeverését egy olyan szerverfigyelővel, amelyet soha nem állítottak be hozzá.