OpenVPN-ը չի միանում հյուրանոցի Wi-Fi-ին. փորձե՛ք TCP 443

Բացեք հաճախորդը, սեղմեք Միանալ և կարդացեք կարգավիճակի տողը, այլ ոչ թե դրան հաջորդող երկխոսությունը։ Այն պրոֆիլը, որը հյուրանոցային, համալսարանական կամ բջջային ցանցից հետո կանգ է առնում Միանում է կամ Սպասում է սերվերին վիճակում, սովորաբար ճանապարհին ինչ-որ տեղ կորցրել է իր տրանսպորտը, ոչ թե իր հավատարմագրերը։ Հաջորդ օգտակար քայլը պարզելն է, թե ինչ է տեղափոխում այդ ցանցը, նախքան սերվերին դիպչելը։ Ոչինչ մի՛ փոխեք, քանի դեռ նույն պրոֆիլը չի աշխատել այլ տեղ։

Նախ փորձարկեք հեռախոսի հոթսփոթից։ Եթե թունելն այնտեղ բարձրանում է, ապա սերվերը, վկայականը և հաշիվը բոլորը կարգին են, և մնացած միակ փոփոխականը ձեր առջևի ցանցն է։

Սկսեք հաճախորդից. կարդացեք կարգավիճակի տողը

Կարգավիճակի տողը ցույց է տալիս, թե որ փուլն է ձախողվել։ Միանում է վիճակում խրված հաճախորդը դեռ լուծում է հոսթի անունը կամ բացում արտաքին սոքեթը. Սպասում է սերվերին հասած հաճախորդն ունի ուղի, բայց պատասխան չունի. իսկ նա, որը նույնականացվում է և հետո ընկնում, բոլորովին այլ խնդիր ունի։ Հաճախորդի մատյանը և պրոֆիլի սեփական remote և proto դաշտերը ցույց են տալիս, թե ինչ է փորձում անել հաճախորդը, իսկ հրամանի տողի հաճախորդում --verb 4-ը տպում է նույն մանրամասնությունը։ Դա ձեր առջևի ցանցի հետ համեմատելն է, որ 'VPN-ը արգելափակված է' արտահայտությունը վերածում է կոնկրետ պնդման։

Այնուհետև ստուգեք ցանցը ձեռքի տակ եղած գործիքներով։ nc -vzu 203.0.113.10 1194-ը ուղարկում է UDP դեյտագրամ, curl -v telnet://203.0.113.10:443-ը հաղորդում է՝ ավարտվում է TCP ձեռքսեղմումը, թե ոչ, իսկ HTTPS էջ բեռնող դիտարկիչը միայն ապացուցում է, որ արտաքին 443-ը հասնում է այդ մեկ հոսթին։ Փոքր ստուգումները պատասխանում են այն, ինչ VPN հաճախորդը չի կարող. որ պորտն ու որ արձանագրությունն են ընդհանրապես դուրս գալիս այս ցանցից։

Ցանցի երեք վարքագիծ հաճախորդի կողմից նույնն են թվում և տարբեր պատասխաններ են պահանջում։ Արտաքին 443-ը կարող է բաց լինել, կարող է թույլատրվել միայն փրոքսի, կամ 443-ը կարող է թափանցիկ ուղարկվել ստուգման արկղ, որը չի կարող կարդալ, թե ինչ է այն տեղափոխում։ Առաջինը շտկվում է ներքևի պրոֆիլի փոփոխությամբ, երկրորդը՝ փրոքսիի կարգավորումներով, իսկ երրորդը կարող է ավարտել ձեռքսեղմումը և հետո կանգ առնել, երբ ստուգողը որոշի, որ իրեն դուր չի գալիս հոսքը։ Իմանալը, թե երեքից որի հետ գործ ունեք, տասը րոպեանոց փոփոխության և հաճախորդների վերատեղադրման կես օրվա տարբերությունն է։

Լսողն ու պրոֆիլը տեղափոխեք միասին

Սերվերի կողմում լսողը դրեք այն, ինչ թույլատրում է ցանցը. port 443 և proto tcp սերվերի կոնֆիգուրացիայում, ապա վերագործարկեք ծառայությունը և հաստատեք սոքեթը ss -lntp-ով։ Հաճախորդի կողմում պրոֆիլը պետք է համաձայնի, որովհետև տրանսպորտն ու պորտը գտնվում են թունելից դուրս. proto tcp և port 443 .ovpn-ում, կամ համապատասխան դաշտերը հավելվածի կարգավորումների էկրանին։ Դեռ UDP 1194-ի վրա ուղղված պրոֆիլը ձախողվում է ճիշտ ինչպես առաջ, և գայթակղությունը՝ մեղադրել արդեն ուղղված հրե պաշտպանին։ Եթե նույն հոսթը նաև HTTPS է պատասխանում 443-ով, երկու լսողները չեն կարող կիսել այդ հասցեն ու արձանագրությունը. տվեք VPN-ին երկրորդ հասցե կամ առջևում դրեք ապամուլտիպլեքսավորիչ։

Հետևեք առաջին կապին tcpdump -ni any port 443-ով երկու ծայրերում։ Փաթեթները, որոնք դուրս են գալիս հաճախորդից և երբեք չեն հասնում, նշանակում են, որ ցանցը վերջիվերջո զտում է, կամ պրոֆիլի հասցեն այն չէ, ինչ դուք ենթադրում եք։ Առանց պատասխանի հասնող փաթեթները ձեզ հետ են ուղարկում սերվերի մատյան, որտեղ արձանագրության անհամապատասխանությունը անմիջապես երևում է որպես դեն նետված փաթեթ։

Երբ ցանցից դուրս է գալիս միայն փրոքսին

Որոշ հյուրային ցանցեր ոչինչ չեն թույլատրում բացի HTTP փրոքսիից, ինչը փակ պորտից տարբեր սահմանափակում է և ավելին է բացառում, քան OpenVPN-ը։ Այն հաճախորդները, որոնք խոսում են միայն PPTP, L2TP/IPsec կամ մերկ IPsec, դրա միջով անցնելու ճանապարհ չունեն, որովհետև այդ նախագծերը ակնկալում են, որ իրենց արտաքին արձանագրությունը ուղղակիորեն հասնի սերվերին։ OpenVPN-ը կարող է, http-proxy proxy.example.net 8080-ով հաճախորդի պրոֆիլում, պայմանով որ փրոքսին թույլատրի CONNECT մեթոդը դեպի ձեր պորտը։ SOCKS փրոքսին ավելի հեշտ է, որովհետև այն ուղարկում է հոսքը՝ չհետաքրքրվելով, թե ինչ կա դրա ներսում։

Այնտեղ, որտեղ հաճախորդը փրոքսիի աջակցություն չունի, սովորաբար մնում է 443-ի վրայով SSH թունել։ Այն ավելացնում է երկրորդ շերտ, և ցանցի օպերատորը կարող է կարծիք ունենալ դրա մասին, ուստի վերաբերվեք դրան որպես մեկ ուղևորության կամուրջ, այլ ոչ թե ճարտարապետություն։

Գնահատեք պահուստի արժեքը մինչ այն պահելը

TCP-ն TCP-ի ներսում հայտնի գին ունի։ Երբ արտաքին կապը TCP է, և բեռն էլ TCP, կորցրած սեգմենտը վերահաղորդում է առաջացնում երկու շերտերում, և ներքին կապը նահանջում է մի կորստից, որը չի կարող տեսնել։ Կայքեր դիտելը դրան դիմանում է. ինտերակտիվ նստաշրջաններն ու զանգերը զգում են դա։ Պահեք TCP 443 լսողը որպես պահուստ այն ցանցերի համար, որոնք պահանջում են այն, և թողեք UDP-ն լռելյայն ամեն ինչի համար, ինչը դեռ բաց է թողնում այն։

Գրանցեք ընտրությունը պրոֆիլի անվան մեջ և աջակցության նշումներում. որ պորտը, որ արձանագրությունը և որ ցանցն է դրան հանգեցրել։ Այնուհետև հարցրեք ցանցի ադմինիստրատորին՝ արդյոք այդ պորտը բաց կմնա հաջորդ սարքավորումների թարմացումից հետո, որովհետև լուռ անհետացող պահուստը ավելի վատ է, քան ընդհանրապես պահուստ չունենալը։