proto udp ar tcp-client: kurį girdi jūsų serveris?

Profilis, kuris veikė praėjusį mėnesį, dabar baigiasi laiko limitu, ir kažkas siūlo pakeisti proto udp į proto tcp-client. Kartais tai teisingas žingsnis, o kartais sukuriamas klientas, kuris jungiasi prie prievado, kuriame niekas neklauso, nes serveris niekada nebuvo sukonfigūruotas kitam transportui. Direktyva aprašo, kaip kalba jūsų pusė; ji negali sukurti klausytojo kitoje pusėje. Prieš keisdami bet kurią iš jų, perskaitykite profilį ir serverį kartu.

Perskaitykite transportą, kurį naudoja pasirinktas ryšys

Profilis gali turėti kelis remote įrašus, ir kiekvienas gali nurodyti savo transportą. Klientas juos apdoroja iš eilės, todėl pirmoji matoma eilutė nebūtinai yra ta, kuri taikoma.

Raskite įrašą, kuris iš tikrųjų bandomas, tada perskaitykite jo transportą. Tvarka svarbi, nes klientas tyliai nepereina prie kito. Kai kurie rinkiniai kitą įrašą bando tik po laiko limito, todėl veikianti alternatyva failo apačioje pasiekiama kelias sekundes vėliau, nei tikimasi. Stebėkite žurnale, kuris galinis taškas bandomas, o ne darykite prielaidą, kad laimėjo pirmoji eilutė.

Jei faile viršuje yra viena proto eilutė, o žemiau keli remote įrašai, ta eilutė yra numatytoji kiekvienam remote, kuris jos nepakeičia. Vietinis numatytosios reikšmės pakeitimas nieko nedaro remote įrašui, kuris nurodo savo transportą.

grep -nE '^(remote|proto)\b' client.ovpn

UDP ir TCP nėra greičio nustatymas

UDP siunčia duomenų gramas nesudarydamas tvarkingo srauto, todėl paties tunelio srautas neįvyniojamas į antrą patikimą transportą. TCP suteikia kelią per tinklus, kurie numeta arba blokuoja UDP, tačiau už tai tenka mokėti įdėtu pakartotiniu perdavimu, kuris gali priversti nuostolius patiriančią jungtį atrodyti blogiau.

Tai pasiekiamumo mainai, o ne universalus reitingas. Teisingas pasirinkimas yra tas, kurį leidžia tinklas priešais klientą. Kelias, kuris numeta UDP VPN prievade, niekada nesusiderės, kad ir kaip gerai būtų parašytas profilis. Išbandykite kelią, tada pasirinkite transportą.

Rinktis tarp jų vien pagal matavimą yra klaida, nes atsakymas priklauso nuo to, ką leidžia tinklas priešais jus. Viešbutis ar įmonės proxy gali leisti išeinantį TCP per 443 ir nieko daugiau, todėl tiekėjai siūlo tą variantą. Tai lieka OpenVPN ryšys tame prievade, o ne HTTPS sesija, net jei prievado numeris yra pažįstamas.

Ką iš tikrųjų reiškia tcp-client

Kliento pusės direktyva įvardija TCP ryšį pradedančią pusę. Serverio pusė naudoja savo klausymosi formą, o kliento žodžio kopijavimas į serverio konfigūraciją sukuria klausytoją, kuris laukia, kol bus paskambinta, o ne tą, kuris priima.

Atitikimas reiškia, kad abi pusės sutaria dėl transporto, o ne kad jos dalijasi ta pačia eilute.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Paklauskite serverio, ko jis klausosi, prieš manydami, kad profilis neteisingas. UDP klausytojas nerodomas TCP lizdų sąraše, ir atvirkščiai taip pat tiesa, todėl žiūrėkite į protokolui būdingą vaizdą, o ne bendrą.

Kai profilis importuojamas, bet niekada neprisijungia

Iš karto laiko limitu pasibaigiantis importuotas profilis paprastai nepavyksta prieš bet kokią autentifikaciją. Paketas keliauja į prievadą be klausytojo, arba tinklas jį tyliai numeta.

Išbandykite kelią kuo paprasčiau: prisijunkite prie to paties pagrindinio kompiuterio ir prievado su transportu, kurį teigia profilis, iš to paties tinklo kaip nepavykstantis klientas.

Jei UDP patikra nieko negauna, o TCP patikra prisijungia, serveris siūlo kitą transportą, o profilis tiesiog pasenęs. Jei nė viena neatsako, problema yra aukščiau transporto pasirinkimo ir jokia profilio redakcija jos neištaisys. Šių dviejų atvejų atskyrimas užtrunka minutę ir sutaupo valandą sertifikatų derinimo, kuris niekada nebuvo aktualus.

Užrašykite veikiantį transportą

Kai derinys veikia, užrašykite jį su serveriu, prievadu ir protokolu bei pažymėkite, iš kurio tinklo jis buvo testuotas.

Priešingu atveju kitas žmogus, susidūręs su laiko limitu, pakartos tą patį eksperimentą priešinga kryptimi ir galbūt pakeis serverį, kuris buvo tvarkingas.

Jei tiekėjas skelbia abu variantus, laikykite abu failus ir pažymėkite juos pagal tinklą, kuriam jie tinka. Du aiškiai pavadinti profiliai neleidžia atsitiktinai sumaišyti kliento transporto su serverio klausytoju, kuris niekada nebuvo jam sukonfigūruotas.