Қонақүй Wi-Fi желісінде OpenVPN қосылмай ма? TCP 443-ті көріңіз

Клиентті ашып, Қосылуды басыңыз да, одан кейін шығатын диалогтың орнына күй жолын оқыңыз. Қонақүй, кампус немесе ұялы желіден кейін Қосылып жатыр немесе Серверді күту күйінде тұрып қалатын профиль әдетте жолдың бір жерінде тасымалын жоғалтқан болады, тіркелгі деректерін емес. Келесі пайдалы қадам — серверге қол тигізбес бұрын сол желінің нені тасымалдайтынын білу. Сол профиль басқа жерде жұмыс істегенше ешнәрсені өзгертпеңіз.

Алдымен телефон хотспотынан сынап көріңіз. Егер тоннель сонда көтерілсе, сервер, сертификат және тіркелгі жарамды, ал қалған жалғыз айнымалы — алдыңыздағы желі.

Клиенттен бастаңыз: күй жолын оқыңыз

Күй жолы қай кезеңнің сәтсіз аяқталғанын айтады. Қосылып жатыр күйінде тұрып қалған клиент әлі хост атын шешіп жатыр немесе сыртқы сокетті ашып жатыр; Серверді күтуге жеткен клиенттің жолы бар, бірақ жауабы жоқ; ал аутентификациядан кейін құлап қалатын клиенттің мүлде басқа мәселесі бар. Клиент журналы мен профильдің өз remote және proto өрістері клиенттің не істеуге тырысып жатқанын көрсетеді, ал командалық жол клиентінде --verb 4 дәл сол толықтықты басып шығарады. Мұны алдыңыздағы желімен салыстыру ғана 'VPN блокталған' дегенді нақты тұжырымға айналдырады.

Содан кейін қолыңызда бар құралдармен желіні тексеріңіз. nc -vzu 203.0.113.10 1194 UDP дейтаграммасын жібереді, curl -v telnet://203.0.113.10:443 TCP қол алысуы аяқталатынын хабарлайды, ал HTTPS бетін жүктейтін браузер сыртқа шығатын 443 сол бір хостқа жететінін ғана дәлелдейді. Кішкентай тексерулер VPN клиенті жауап бере алмайтын нәрсеге жауап береді: қай порт пен қай протокол бұл желіден мүлде шығады.

Желінің үш мінез-құлқы клиент жағынан бірдей көрінеді және түрлі жауап талап етеді. Сыртқа шығатын 443 ашық болуы мүмкін, тек проксиге рұқсат берілуі мүмкін, немесе 443 тасымалдайтынын оқи алмайтын тексеру жәшігіне мөлдір түрде жіберілуі мүмкін. Біріншісі төмендегі профиль өзгерісімен, екіншісі прокси параметрлерімен түзеледі, ал үшіншісі қол алысуды аяқтап, содан кейін тексерушіге ағын ұнамай қалғанда тұрып қалуы мүмкін. Қайсысымен бетпе-бет келгеніңізді білу — он минуттық өзгеріс пен клиенттерді қайта орнатуға кететін түстің айырмашылығы.

Тыңдаушы мен профильді бірге көшіріңіз

Сервер жағында тыңдаушыны желі рұқсат ететін нәрсеге қойыңыз: сервер конфигурациясында port 443 және proto tcp, содан кейін қызметті қайта іске қосып, сокетті ss -lntp арқылы растаңыз. Клиент жағында профиль келісуі керек, өйткені тасымал мен порт тоннельден тыс тұрады: .ovpn ішінде proto tcp және port 443, немесе қолданба параметрлері экранындағы сәйкес өрістер. Әлі UDP 1194-ке бағытталған профиль дәл бұрынғыдай сәтсіз аяқталады, ал түзелген файрволды кінәлауға құмарлық пайда болады. Егер сол хост 443-те HTTPS-ке де жауап берсе, екі тыңдаушы бұл мекенжай мен протоколды бөлісе алмайды; VPN-ге екінші мекенжай беріңіз немесе алдына демультиплексор қойыңыз.

Бірінші қосылымды екі ұшынан tcpdump -ni any port 443 арқылы бақылаңыз. Клиенттен шығып, ешқашан жетпейтін пакеттер желінің бәрібір сүзетінін немесе профильдегі мекенжайдың сіз ойлаған мекенжай еместігін білдіреді. Жауапсыз жеткен пакеттер сізді сервер журналына қайтарады, онда протокол сәйкессіздігі бірден лақтырылған пакет ретінде көрінеді.

Желіден тек прокси шыққанда

Кейбір қонақ желілері HTTP проксиден басқа ештеңеге рұқсат бермейді, бұл жабық порттан өзге шектеу және OpenVPN-нен де көбін шығарып тастайды. Тек PPTP, L2TP/IPsec немесе жалаң IPsec сөйлейтін клиенттер одан өте алмайды, өйткені бұл құрылымдар сыртқы протоколы серверге тікелей жетеді деп күтеді. OpenVPN мұны істей алады, клиент профилінде http-proxy proxy.example.net 8080 болса, прокси портыңызға CONNECT әдісіне рұқсат берген жағдайда. SOCKS прокси одан да қарапайым, өйткені ол ішінде не бар екеніне қарамай ағынды жібереді.

Клиентте прокси қолдауы болмаса, 443 үстіндегі SSH тоннелі әдетте қалады. Ол екінші қабат қосады, ал желі операторының бұл туралы пікірі болуы мүмкін, сондықтан оны архитектура емес, бір сапарға арналған көпір ретінде қарастырыңыз.

Қосалқы жолды ұстап қалмас бұрын бағасын есептеңіз

TCP ішіндегі TCP-нің белгілі бағасы бар. Сыртқы қосылым TCP болса, пайдалы жүктеме де TCP болса, жоғалған сегмент екі қабатта да қайта жіберуді тудырады, ал ішкі қосылым өзі көре алмайтын шығыннан шегінеді. Шолу мұны көтереді; интерактивті сессиялар мен қоңыраулар оны сезеді. TCP 443 тыңдаушысын оны талап ететін желілер үшін қосалқы жол ретінде ұстаңыз, ал UDP-ні әлі де өткізетін барлық нәрсе үшін әдепкі күйінде қалдырыңыз.

Таңдауды профиль атына және қолдау жазбаларына тіркеңіз: қай порт, қай протокол және қай желі оған себеп болды. Содан кейін желі әкімшісінен келесі жабдық жаңартуынан кейін бұл порт ашық қала ма деп сұраңыз, өйткені үнсіз жоғалып кететін қосалқы жол мүлде болмағаннан да жаман.