proto udp vai tcp-client: kuru dzird jūsu serveris?

Profils, kas strādāja pagājušajā mēnesī, tagad beidzas ar taimautu, un kāds iesaka nomainīt proto udp uz proto tcp-client. Dažreiz tas ir pareizais solis, dažreiz tiek izveidots klients, kas savienojas ar portu, kurā nekas neklausās, jo serveris nekad nav bijis konfigurēts otram transportam. Direktīva apraksta, kā runā jūsu puse; tā nevar izveidot klausītāju otrā pusē. Pirms mainīt jebkuru no tiem, lasiet profilu un serveri kopā.

Lasiet transportu, ko izmanto atlasītais savienojums

Profils var saturēt vairākus remote ierakstus, un katrs var norādīt savu transportu. Klients tos apstrādā secībā, tāpēc pirmā redzamā rinda ne vienmēr ir tā, kas tiek piemērota.

Atrodiet ierakstu, kas patiešām tiek mēģināts, un pēc tam lasiet tā transportu. Secība ir svarīga, jo klients klusi nepāriet pie nākamā. Dažas būves nākamo ierakstu mēģina tikai pēc taimauta, tāpēc strādājoša alternatīva faila apakšā tiek sasniegta dažas sekundes vēlāk, nekā gaidīts. Vērojiet žurnālā, kurš galapunkts tiek mēģināts, nevis pieņemiet, ka uzvarēja pirmā rinda.

Ja faila augšdaļā ir viena proto rinda un zem tās vairāki remote ieraksti, šī rinda ir noklusējums katram remote, kas to neaizstāj. Lokāla noklusējuma maiņa neko nedara remote ierakstam, kas norāda savu transportu.

grep -nE '^(remote|proto)\b' client.ovpn

UDP un TCP nav ātruma iestatījums

UDP sūta datagrammas, neveidojot sakārtotu plūsmu, tāpēc paša tuneļa trafiks netiek ietīts otrā uzticamā transportā. TCP dod jums ceļu caur tīkliem, kas izmet vai bloķē UDP, taču par to jāmaksā ar iegultu atkārtotu pārsūtīšanu, kas var likt zudumiem pakļautam savienojumam justies sliktāk.

Tas ir sasniedzamības maiņa, nevis universāls reitings. Pareizā izvēle ir tā, ko pieļauj tīkls klienta priekšā. Ceļš, kas izmet UDP VPN portā, nekad nevienosies, lai cik labi profils būtu uzrakstīts. Pārbaudiet ceļu, tad izvēlieties transportu.

Izvēlēties starp tiem tikai pēc mērījuma ir kļūda, jo atbilde ir atkarīga no tā, ko pieļauj tīkls jūsu priekšā. Viesnīca vai uzņēmuma starpniekserveris var atļaut izejošo TCP uz 443 un neko citu, tāpēc pakalpojumu sniedzēji piedāvā šo variantu. Tas paliek OpenVPN savienojums šajā portā, nevis HTTPS sesija, pat ja porta numurs ir pazīstamais.

Ko tcp-client patiešām nozīmē

Klienta puses direktīva nosauc TCP savienojumu uzsākošo galu. Servera puse izmanto savu klausīšanās formu, un klienta vārda kopēšana servera konfigurācijā rada klausītāju, kas gaida, kad tam piezvanīs, nevis tādu, kas pieņem.

Atbilstība nozīmē, ka abas puses vienojas par transportu, nevis ka tām ir viena un tā pati virkne.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Pajautājiet serverim, ko tas klausās, pirms pieņemt, ka profils ir nepareizs. UDP klausītājs neparādās TCP ligzdu sarakstā, un arī otrādi ir taisnība, tāpēc skatiet protokolam raksturīgo skatu, nevis vispārīgu.

Kad profils tiek importēts, bet nekad neizveido savienojumu

Importēts profils, kas uzreiz beidzas ar taimautu, parasti neizdodas pirms jebkādas autentifikācijas. Pakete dodas uz portu bez klausītāja, vai tīkls to klusi izmet.

Pārbaudiet ceļu visvienkāršākajā veidā: savienojieties ar to pašu resursdatoru un portu ar transportu, ko apgalvo profils, no tā paša tīkla kā neizdevušais klients.

Ja UDP pārbaude neko nesaņem un TCP pārbaude izveido savienojumu, serveris piedāvā otru transportu, un profils vienkārši ir novecojis. Ja neviens neatbild, problēma ir augstāk par transporta izvēli, un nekāda profila rediģēšana to neizlabos. Šo divu gadījumu atšķiršana aizņem minūti un ietaupa stundu sertifikātu atkļūdošanas, kas nekad nav bijusi būtiska.

Pierakstiet strādājošo transportu

Kad kombinācija strādā, pierakstiet to kopā ar serveri, portu un protokolu, un atzīmējiet, no kura tīkla tā tika pārbaudīta.

Citādi nākamais cilvēks, kas saskarsies ar taimautu, atkārtos to pašu eksperimentu pretējā virzienā un, iespējams, nomainīs serveri, kas bija kārtībā.

Ja pakalpojumu sniedzējs publicē abus variantus, saglabājiet abas datnes un marķējiet tās pēc tīkla, kam tās atbilst. Divi skaidri nosaukti profili novērš klienta transporta nejaušu sajaukšanu ar servera klausītāju, kas tam nekad nav bijis konfigurēts.