proto udp თუ tcp-client: თქვენი სერვერი რომელს ისმენს?

პროფილი, რომელიც წინა თვეში მუშაობდა, ახლა დროის ამოწურვას ხვდება და ვიღაც გვთავაზობს proto udp-ის proto tcp-client-ით შეცვლას. ზოგჯერ ეს სწორი ნაბიჯია, ზოგჯერ კი იქმნება კლიენტი, რომელიც უკავშირდება პორტს, სადაც არაფერი ისმენს, რადგან სერვერი არასდროს ყოფილა კონფიგურირებული მეორე ტრანსპორტისთვის. დირექტივა აღწერს, როგორ ლაპარაკობს თქვენი მხარე; მას არ შეუძლია მსმენელის შექმნა მეორე მხარეს. სანამ რომელიმეს შეცვლით, ერთად წაიკითხეთ პროფილი და სერვერი.

წაიკითხეთ ტრანსპორტი, რომელსაც არჩეული კავშირი იყენებს

პროფილს შეიძლება ჰქონდეს რამდენიმე remote ჩანაწერი და თითოეულმა შეიძლება დაასახელოს საკუთარი ტრანსპორტი. კლიენტი მათ რიგრიგობით გადის, ამიტომ პირველად ნანახი ხაზი სულაც არ არის მოქმედი.

იპოვეთ ჩანაწერი, რომელიც რეალურად იცდება, შემდეგ წაიკითხეთ მისი ტრანსპორტი. რიგითობა მნიშვნელოვანია, რადგან კლიენტი ჩუმად არ გადადის შემდეგზე. ზოგიერთი ნაგებობა შემდეგ ჩანაწერს მხოლოდ დროის ამოწურვის შემდეგ ცდის, ამიტომ ფაილის ბოლოში მყოფ სამუშაო ალტერნატივას მოსალოდნელზე რამდენიმე წამით გვიან მიაღწევთ. ჟურნალში თვალი ადევნეთ, რომელი საბოლოო წერტილი იცდება, ნაცვლად იმისა, რომ ჩათვალოთ პირველი ხაზის გამარჯვება.

თუ ფაილში ზემოთ არის ერთი proto ხაზი და მის ქვემოთ რამდენიმე remote ჩანაწერი, ეს ხაზი ნაგულისხმევია ყველა იმ remote-ისთვის, რომელიც მას არ გადაფარავს. ნაგულისხმევის ლოკალური შეცვლა არაფერს აკეთებს იმ remote ჩანაწერისთვის, რომელიც საკუთარ ტრანსპორტს ასახელებს.

grep -nE '^(remote|proto)\b' client.ovpn

UDP და TCP სიჩქარის პარამეტრი არ არის

UDP აგზავნის დატაგრამებს დალაგებული ნაკადის აგების გარეშე, ამიტომ თვით გვირაბის ტრაფიკი მეორე საიმედო ტრანსპორტში არ იხვევა. TCP გაძლევთ გზას იმ ქსელებში, რომლებიც UDP-ს აგდებენ ან ბლოკავენ, სამაგიეროდ ჩადგმული ხელახალი გაგზავნით, რომელმაც დანაკარგიანი კავშირი უარესად შეიძლება იგრძნოს.

ეს ხელმისაწვდომობის გაცვლაა და არა საყოველთაო რეიტინგი. სწორი არჩევანი ის არის, რასაც კლიენტის წინა ქსელი უშვებს. გზა, რომელიც VPN პორტზე UDP-ს აგდებს, არასდროს მოილაპარაკებს, რაც არ უნდა კარგად იყოს პროფილი დაწერილი. გამოსცადეთ გზა, შემდეგ აირჩიეთ ტრანსპორტი.

მათ შორის მხოლოდ გაზომვის მიხედვით არჩევა შეცდომაა, რადგან პასუხი დამოკიდებულია იმაზე, რასაც თქვენს წინ ქსელი უშვებს. სასტუმრომ ან კორპორატიულმა პროქსიმ შეიძლება დაუშვას გამავალი TCP 443 პორტზე და სხვა არაფერი, ამიტომ მომწოდებლები ამ ვარიანტს სთავაზობენ. ეს რჩება OpenVPN კავშირად ამ პორტზე და არა HTTPS სეანსად, თუმცა პორტის ნომერი ნაცნობია.

რას ნიშნავს სინამდვილეში tcp-client

კლიენტის მხარის დირექტივა ასახელებს TCP კავშირის დამწყებ მხარეს. სერვერის მხარე იყენებს თავის მოსმენის ფორმას, და კლიენტის სიტყვის სერვერის კონფიგურაციაში კოპირება ქმნის მსმენელს, რომელიც ელოდება, რომ დაურეკავენ, და არა ისეთს, რომელიც იღებს.

დამთხვევა ნიშნავს, რომ ორი მხარე ტრანსპორტზე თანხმდება და არა იმას, რომ ერთსა და იმავე სტრიქონს იზიარებენ.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

სანამ ჩათვლით, რომ პროფილი არასწორია, ჰკითხეთ სერვერს, რას ისმენს. UDP მსმენელი არ ჩანს TCP სოკეტების სიაში და პირიქითაც მართალია, ამიტომ ნახეთ პროტოკოლისთვის სპეციფიკური ხედი და არა ზოგადი.

როცა პროფილი იმპორტირდება, მაგრამ არასდროს უკავშირდება

მაშინვე დროის ამოწურვამდე მისული იმპორტირებული პროფილი ჩვეულებრივ მარცხდება ნებისმიერ ავთენტიფიკაციამდე. პაკეტი მიდის პორტზე მსმენელის გარეშე, ან ქსელი ჩუმად აგდებს მას.

გამოსცადეთ გზა უმარტივესად: დაუკავშირდით იმავე ჰოსტსა და პორტს იმ ტრანსპორტით, რომელსაც პროფილი აცხადებს, იმავე ქსელიდან, საიდანაც მარცხდება კლიენტი.

თუ UDP შემოწმება ვერაფერს იღებს და TCP შემოწმება უკავშირდება, სერვერი მეორე ტრანსპორტს სთავაზობს და პროფილი უბრალოდ მოძველებულია. თუ არცერთი არ პასუხობს, პრობლემა ტრანსპორტის არჩევანზე მაღლაა და პროფილში არცერთი ცვლილება არ გამოასწორებს. ამ ორი შემთხვევის გარჩევას ერთი წუთი სჭირდება და ზოგავს სერტიფიკატების გამართვის ერთ საათს, რომელიც არასდროს ყოფილა შესაბამისი.

ჩაიწერეთ მომუშავე ტრანსპორტი

როცა კომბინაცია მუშაობს, ჩაწერეთ იგი სერვერთან, პორტთან და პროტოკოლთან ერთად და მიუთითეთ, რომელი ქსელიდან შემოწმდა.

წინააღმდეგ შემთხვევაში, შემდეგი ადამიანი, ვინც დროის ამოწურვას წააწყდება, იგივე ექსპერიმენტს საპირისპირო მიმართულებით გაიმეორებს და შესაძლოა შეცვალოს სერვერი, რომელიც რიგზე იყო.

თუ მომწოდებელი აქვეყნებს ორივე ვარიანტს, შეინახეთ ორივე ფაილი და მონიშნეთ იმ ქსელის მიხედვით, რომელსაც ერგება. ორი მკაფიოდ დასახელებული პროფილი ხელს უშლის კლიენტის ტრანსპორტის შემთხვევით შერევას სერვერის მსმენელთან, რომელიც არასდროს ყოფილა მისთვის კონფიგურირებული.