UDP ass net ëmmer méi séier: den OpenVPN-Transport auswielen

All Guide seet, datt UDP fir OpenVPN besser ass wéi TCP, an dëse Rot ass eng Standardastellung, keng Miessung. Den Transport ännert, wéi Pakete geliwwert ginn a wat geschitt, wann de Wee se verléiert, net wéi den Tunnel verschlësselt gëtt. Hanner engem Captive Portal oder engem Proxy, dee just Port 443 erlaabt, ass déi méi lues Optioun déi eenzeg, déi iwwerhaapt verbënnt. D'Folgendes trennt, wat de Protokoll mécht, vun deem, wat ären Zougangsnetz erlaabt.

Wat den Transport tatsächlech ännert

TCP liwwert e zouverlässegen, geuerdneten Byte-Stroum an iwwerdréit alles erëm, wat verluer geet, wéi RFC 9293 et festleet. UDP gëtt Datagramme weider un d'Netz, an OpenVPN bedreift seng eege Zouverlässegkeetsschicht iwwer dëse Socket. D'Kapselung vun TCP an TCP stackt zwou Erhuelungsschleifen, sou datt een verluerene Segment den banneschte Stroum ophalen kann, bis déi baussenzeg Widderhuelung ukënnt. Dës Wechselwierkung ass dat richtegt Argument fir UDP, an et weist sech als Latenz an net als Duerchflux.

Den Effekt wiisst mat Verloscht an Himm-und-zeréck-Zäit. Op engem proppere lokale Wee fillen sech béid Transporter identesch, dofir reproduzéiert e Laboratoirestest d'Beschwéier selten. Op enger iwwerlaaschter Mobilverbindung weist sech den Ënnerscheed a interaktive Sessiounen laang ier eng grouss Iwwerdragung eppes mierkt.

Näischt vun dësem beréiert Vertraulechkeet oder Integritéit. Den TLS-Handscheck an d'Datekanal-Chiffre sinn déi selwecht fir béid Transporter, dofir kann en Emstellung eng schwaach Chiffer-Suite net retten.

Wou TCP säi Plaz verdéngt

Zougangsnetzer sinn de gewéinleche Grond fir TCP ze wielen. En Hotel, en Flughafen oder en Gäschenetz kann auswäertegen 443 erlaben an alles anescht verwerfen, an en TCP-Nolauschterer op deem Port ass dee eenzege Profil, dee funktionéiert. Dat ass Erreechbarkeet, net Leeschtung, an et ass vun sech aus e gudde Grond.

TCP hëlleft och, wann de Wee stabil ass, awer d'Mëttelboxe feindlech sinn. E puer Netzer setzen laanglieweg UDP-Flëss zréck, während se TCP-Sessiounen toleréieren, déi normalem Webverkéier gläichen. Ob dës Gläichheet geléngt, ass eng Eegeschaft vum konkreeten Netz, an kee Guide kann et fir all verspriechen. Testt bannen am Netz, deen ausfällt, ier dir de Protokoll beschëllegt.

Eng ofgelehnte Login ass kee Transportproblem. D'Zertifikatverifikatioun ausschalten, fir eng Verbindung duerchzedrécken, ass eng aner Ännerung mat engem vill méi schlëmmen Resultat.

En TCP-Profil bereet ze halen ass de prakteschen Kompromiss. Déi meeschte Clienten späicheren allebéid a loossen iech wiesselen, wann en Netz den UDP-Wee refuséiert, wat näischt kascht, bis dir et braucht. Wat dir net sollte maachen, ass zwee Profiler ze liwweren, déi op verschidde Endpunkten weisen, well dann moosst äre Verglach d'Serveren.

Kontrolléiert, wéi en Nolauschterer dir tatsächlech hutt

Ier dir Leeschtung vergläicht, bestätegt, datt béid Säiten iwwer den Transport an de Port eens sinn. proto udp zu proto tcp an enger Clientdatei z'änneren, erstellt keen Server-Nolauschterer. De Server muss fir dee Protokoll konfiguréiert sinn, an de Profil muss dozou passen.

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep dréckt aus, wat dem Server gesot gouf ze benotzen, während déi zwou Socket-Lëschten weisen, un wat hie gebonnen ass. En UDP-Nolauschterer erschéngt just an der éischter Lëscht an en TCP-Nolauschterer just an der zweeter, dofir ass eng fehlend Linn de séiersten Wee, e Profil ze fannen, deen ni ugewannt gouf. Vergläicht och de Port, well en TCP-Profil op 1194 sech an de meeschten Zougangsnetzer anescht verhält wéi een op 443. Start de Service no der Ännerung nei a liest d'Loglinn, déi d'Bindung mellt.

D'Bestätegung op der Clientsäit ass bëlleg: leeft d'Verbindung mat --verb 4 a liest d'Transportslinn am Log. Wann de Client UDP seet, während de Server op TCP lauschtert, fänkt den Handscheck ni un, an et hëlleft keng Ofstëmmung.

Vergläicht d'Aarbechtslaascht, net d'Etikett vum Transport

E faire Verglach hält alles konstant ausser den Transport. Datselwecht Gerät, datselwecht Zougangsnetz, deeselwechten Zilhost, déiselwecht Applikatioun an idealerweis deeselwechte Server. Wa béid Profiler op verschidde Hoste weisen, moosst dir déi Hoste mat.

Notéiert dräi Resultater pro Laf: ob den Tunnel sech opbaut, ob en besteet a ob d'Aufgab fäerdeg gëtt. Kleng Ufroe, déi funktionéieren, während grouss Iwwerdragungen hänken, deiten op Paketgréisst an MTU hin, net op den Transport. Widderholl Neiverbindungen deiten op de Wee oder op en Timeout vun enger Mëttelbox hin.

Behält de Profil, dee ënner de Bedingunge funktionéiert, déi dir tatsächlech begéint, a späichert den aneren. D'Wiel gehéiert dem Netz, net der Persoun, dofir ass all eenzeg Standardäntwert irgendwou falsch.