proto udp oder tcp-client: wat héiert Äre Server?

E Profil, dee leschte Mount nach funktionéiert huet, leeft elo an en Timeout, an een schléit vir, proto udp duerch proto tcp-client z'ersetzen. Heiansdo ass dat de richtige Schrëtt, heiansdo entsteet dobäi e Client, deen sech mat engem Port verbënnt, op deem näischt lauschtert, well de Server ni fir den aneren Transport konfiguréiert gouf. D'Direktiv beschreift, wéi Är Säit schwätzt; si kann op der Géigesäit keen Nolauschterer schafen. Liest de Profil an de Server zesummen, ier Dir ee vun deenen zwee ännert.

Liest den Transport, deen déi ausgewielte Verbindung benotzt

E Profil kann e puer remote-Agank enthalen, an all eenzel kann säin eegenen Transport nennen. De Client geet se der Rei no duerch, dofir ass déi Linn, déi Dir als éischt gesitt, net onbedéngt déi, déi et gëllt.

Fannt den Agang, deen tatsächlech versicht gëtt, a liest dann säin Transport. D'Reiefolleg ass wichteg, well de Client net roueg weidergoe geet. Verschidde Builds versichen den nächsten Agang eréischt no engem Timeout, dofir gëtt eng funktionéierend Alternativ um Enn vun der Datei e puer Sekonnen méi spéit erreecht wéi erwaart. Beobacht am Log, wéi een Endpunkt versicht gëtt, amplaz unzehuelen, datt déi éischt Linn gewonnen huet.

Wann d'Datei eng proto-Linn no uewen huet an e puer remote-Agäng drënner, dann ass déi Linn de Standard fir all remote, dee se net iwwerschreift. Eng lokal Ännerung um Standard bewierkt näischt fir en remote-Agang, dee säin eegenen Transport nennt.

grep -nE '^(remote|proto)\b' client.ovpn

UDP an TCP sinn keng Vitessastellung

UDP schéckt Datagramme fir, ouni en uerdentleche Stroum opzebauen, sou datt den eegene Verkéier vum Tunnel net an en zweeten zouverlässegen Transport agepakelt gëtt. TCP gëtt Iech e Wee duerch Netzwierker, déi UDP fale loossen oder blockéieren, op Käschte vun agebauter Neisendung, déi eng verloschtbehaft Verbindung nach méi schlëmm fillen kann.

Dat ass en Tausch vu Erreechbarkeet, keng allgemeng Ranglëscht. Déi richteg Wiel ass déi, déi d'Netzwierk virum Client erlaabt. E Wee, deen UDP um VPN-Port fale léisst, wäert ni verhandelen, wéi gutt de Profil och geschriwwen ass. Test de Wee, duerno wiel den Transport.

Tëschent deenen zwee just op Grond vun enger Miessung ze wielen ass e Feeler, well d'Äntwert dovun ofhänkt, wat d'Netzwierk virun Iech erlaabt. En Hotel oder en Firmeproxy kann uitgaend TCP um 443 erlaben an näischt anescht, dofir bidden d'Ubidder déi Variant un. Et bleift eng OpenVPN-Verbindung op deem Port, keng HTTPS-Sessioun, och wann d'Portnummer déi bekannten ass.

Wat tcp-client tatsächlech bedeit

D'Direktiv op der Clientsäit nennt deen Enn, deen eng TCP-Verbindung ufänkt. D'Serversäit benotzt seng eegen Nolauschtersform, an d'Wuert vum Client an eng Serverkonfiguratioun ze kopéieren erzeegt en Nolauschterer, deen erwaart ugeruff ze ginn, an net een, deen unhëlt.

Iwwerenee stëmmen heescht, datt déi zwou Säiten sech iwwer den Transport eens sinn, net datt se déi selwecht Zeecheketten deelen.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Frot de Server, op wat en lauschtert, ier Dir unhëlt, datt de Profil falsch ass. En UDP-Nolauschterer erschéngt net an enger TCP-Socket-Lëscht, an ëmgedréit ass et och wouer, dofir kuckt déi protokollspezifesch Usiicht amplaz enger allgemenger.

Wann de Profil importéiert gëtt, awer ni verbënnt

En importéierte Profil, deen direkt an en Timeout leeft, schléit meeschtens virun all Authentifikatioun feel. De Paket geet op e Port ouni Nolauschterer, oder d'Netzwierk léisst en roueg falen.

Test de Wee op déi einfachst méiglech Manéier: verbënnt Iech mam selwechten Host a Port mam Transport, deen de Profil behaapt, aus dem selwechten Netzwierk wéi de Client, deen feelgeet.

Wann en UDP-Test näischt kritt an en TCP-Test sech verbënnt, dann ubitt de Server den aneren Transport an de Profil ass einfach veraltert. Wann keen vun deenen zwee äntwert, läit de Problem iwwer der Transportwiel a keng Ännerung um Profil wäert en reparéieren. Dës zwee Fäll z'ënnerscheeden dauert eng Minutt a spuert eng Stonn Zertifikats-Debugging, déi ni relevant war.

Schreift den funktionéierenden Transport op

Soubal eng Kombinatioun funktionéiert, schreift se mam Server, Port a Protokoll op, a notéiert, vun wellem Netzwierk se getest gouf.

Soss wäert déi nächst Persoun, déi en Timeout erreeft, dee selwechten Experiment an déi aner Richtung probéieren, a méiglecherweis e Server änneren, dee gutt war.

Wann den Ubidder déi zwou Varianten publizéiert, behält déi zwou Dateien a beschrëft se no dem Netzwierk, fir dat se passen. Zwee kloer benannt Profiler verhënneren déi zoufälleg Vermëschung vun engem Clienttransport mat engem Servernolauschterer, dee ni dofir konfiguréiert gouf.