proto udp atau tcp-client: mana yang didengar server Anda?

Profil yang berfungsi bulan lalu kini habis waktu, dan seseorang menyarankan mengganti proto udp menjadi proto tcp-client. Kadang itu langkah yang tepat, kadang menghasilkan klien yang terhubung ke port yang tidak didengarkan apa pun, karena server tidak pernah dikonfigurasi untuk transport lain. Direktif menjelaskan bagaimana ujung Anda berbicara; ia tidak dapat membuat pendengar di ujung seberang. Baca profil dan server bersama-sama sebelum mengubah salah satunya.

Baca transport yang digunakan koneksi terpilih

Sebuah profil dapat memuat beberapa entri remote, dan masing-masing dapat menyebut transportnya sendiri. Klien memprosesnya berurutan, jadi baris yang Anda lihat pertama belum tentu yang berlaku.

Temukan entri yang benar-benar dicoba, lalu baca transportnya. Urutan penting, karena klien tidak berpindah diam-diam. Sebagian build mencoba entri berikutnya hanya setelah waktu habis, sehingga alternatif yang berfungsi di bagian bawah berkas tercapai beberapa detik lebih lambat dari dugaan Anda. Pantau log untuk titik akhir yang dicoba alih-alih menganggap baris pertama yang menang.

Jika berkas memiliki satu baris proto di dekat atas dan beberapa entri remote di bawahnya, baris itu adalah nilai bawaan bagi setiap remote yang tidak menimpanya. Perubahan lokal pada nilai bawaan tidak berpengaruh bagi entri remote yang menyebut transportnya sendiri.

grep -nE '^(remote|proto)\b' client.ovpn

UDP dan TCP bukan pengaturan kecepatan

UDP mengirim datagram tanpa membangun aliran terurut, jadi lalu lintas terowongan itu sendiri tidak dibungkus dalam transport andal kedua. TCP memberi Anda jalur melalui jaringan yang menjatuhkan atau memblokir UDP, dengan biaya pengiriman ulang bersarang yang dapat membuat tautan berlosi terasa lebih buruk.

Itu adalah tukar guling keterjangkauan, bukan peringkat universal. Pilihan yang tepat adalah yang diizinkan jaringan di depan klien. Jalur yang menjatuhkan UDP pada port VPN tidak akan pernah bernegosiasi, sebagus apa pun profil ditulis. Uji jalurnya, lalu pilih transportnya.

Memilih di antara keduanya hanya berdasarkan tolok ukur adalah kesalahan, karena jawabannya bergantung pada apa yang diizinkan jaringan di depan Anda. Hotel atau proksi korporat mungkin mengizinkan TCP keluar pada 443 dan tidak yang lain, itulah sebabnya penyedia menawarkan varian itu. Ini tetap koneksi OpenVPN pada port itu, bukan sesi HTTPS, meskipun nomor portnya yang familier.

Apa arti tcp-client sebenarnya

Direktif sisi klien menyebut ujung yang memulai koneksi TCP. Sisi server memakai bentuk pendengarannya sendiri, dan menyalin kata klien ke konfigurasi server menghasilkan pendengar yang mengharapkan ditelepon, bukan yang menerima.

Cocok berarti kedua ujung sepakat soal transport, bukan bahwa mereka berbagi string yang sama.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Tanyakan kepada server apa yang didengarkannya sebelum menganggap profil salah. Pendengar UDP tidak muncul dalam daftar soket TCP, dan sebaliknya juga benar, jadi periksa tampilan khusus protokol alih-alih tampilan umum.

Ketika profil diimpor tetapi tidak pernah terhubung

Profil yang diimpor dan langsung habis waktu biasanya gagal sebelum autentikasi apa pun. Paket menuju port tanpa pendengar, atau jaringan menjatuhkannya diam-diam.

Uji jalur dengan cara paling sederhana: hubungkan ke host dan port yang sama dengan transport yang diklaim profil, dari jaringan yang sama dengan klien yang gagal.

Jika uji UDP tidak mendapat apa pun dan uji TCP terhubung, server menawarkan transport lain dan profilnya sekadar kedaluwarsa. Jika keduanya tidak merespons, masalahnya berada di hulu pilihan transport dan tidak ada suntingan profil yang akan memperbaikinya. Membedakan kedua kasus itu butuh satu menit dan menghemat satu jam penelusuran sertifikat yang tidak pernah relevan.

Catat transport yang berfungsi

Setelah kombinasi berfungsi, catat bersama server, port, dan protokol, serta tandai dari jaringan mana ia diuji.

Jika tidak, orang berikutnya yang kena waktu habis akan mengulang eksperimen yang sama ke arah sebaliknya, dan mungkin mengubah server yang tadinya baik-baik saja.

Jika penyedia menerbitkan kedua varian, simpan kedua berkas dan beri label sesuai jaringan yang cocok. Dua profil dengan nama jelas mencegah tercampurnya transport klien dengan pendengar server yang tidak pernah dikonfigurasi untuknya.