proto udp или tcp-client: кој од двата го слуша вашиот сервер?

Профил што работеше минатиот месец сега поминува во истек на времето, и некој предлага да го замените proto udp со proto tcp-client. Понекогаш тоа е вистинскиот чекор, а понекогаш се добива клиент што се поврзува со порта каде ништо не слуша, бидејќи серверот никогаш не бил конфигуриран за другиот транспорт. Директивата опишува како зборува вашата страна; таа не може да создаде слушател на другата страна. Прочитајте го профилот и серверот заедно пред да промените било кој од нив.

Прочитајте го транспортот што го користи избраната врска

Профилот може да носи неколку записи remote и секој може да го наведе својот транспорт. Клиентот ги обработува по редослед, затоа првата линија што ја гледате не е нужно онаа што се применува.

Најдете го записот што навистина се обидува, потоа прочитајте го неговиот транспорт. Редоследот е важен, бидејќи клиентот не преминува тивко на следниот. Некои градби го обидуваат следниот запис само по истек на времето, затоа работна алтернатива на дното од датотеката се достигнува неколку секунди подоцна отколку што очекувате. Гледајте во дневникот која крајна точка се обидува, наместо да претпоставувате дека победила првата линија.

Ако датотеката има една линија proto при врвот и неколку записи remote под неа, таа линија е стандардот за секој remote што не го надминува. Локалната промена на стандардот не прави ништо за запис remote што го наведува својот транспорт.

grep -nE '^(remote|proto)\b' client.ovpn

UDP и TCP не се поставка за брзина

UDP праќа датаграми без да изгради подреден тек, затоа сообраќајот на самиот тунел не се завиткува во втор сигурен транспорт. TCP ви дава пат низ мрежи што отфрлаат или блокираат UDP, по цена на вгнездено повторно пренесување што може да направи врска со загуби да се чувствува полошо.

Тоа е размена за достапност, не универзален рангирање. Правилниот избор е оној што го дозволува мрежата пред клиентот. Пат што фрла UDP на портата VPN никогаш нема да преговара, колку и добро да е напишан профилот. Тестирајте го патот, потоа изберете го транспортот.

Изборот помеѓу нив само врз основа на мерење е грешка, бидејќи одговорот зависи од тоа што го дозволува мрежата пред вас. Хотел или корпоративен прокси може да дозволува излезен TCP на 443 и ништо друго, затоа добавувачите го нудат таа варијанта. Тоа останува OpenVPN врска на таа порта, не HTTPS сесија, дури и ако бројот на портата е познатиот.

Што всушност значи tcp-client

Директивата на клиентската страна го именува крајот што започнува TCP врска. Серверската страна ја користи својата форма на слушање, а копирањето на зборот на клиентот во серверска конфигурација создава слушател што очекува да биде повикан, а не таков што прифаќа.

Совпаѓањето значи дека двете страни се согласуваат за транспортот, а не дека делат иста низа.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Прашајте го серверот на што слуша пред да претпоставите дека профилот е погрешен. UDP слушател не се појавува во список на TCP сокети, и обратното исто така е точно, затоа гледајте го приказот специфичен за протоколот наместо општ.

Кога профилот се увезува, но никогаш не се поврзува

Увезен профил што веднаш истекува обично не успева пред каква и да е автентикација. Пакетот оди на порта без слушател, или мрежата тивко го отфрла.

Тестирајте го патот на наједноставниот можен начин: поврзете се со истиот домаќин и порта со транспортот што го тврди профилот, од истата мрежа како клиентот што не успева.

Ако UDP проверката не добие ништо, а TCP проверката се поврзе, серверот го нуди другиот транспорт и профилот едноставно е застарен. Ако ниту една не одговори, проблемот е над изборот на транспорт и никакво уредување на профилот нема да го поправи. Разликувањето на овие два случаи трае една минута и заштедува еден час отстранување грешки со сертификати што никогаш не било релевантно.

Запишете го работниот транспорт

Кога комбинацијата работи, запишете ја со серверот, портата и протоколот и забележете од која мрежа е тестирана.

Инаку следниот човек што ќе налета на истек на времето ќе го повтори истиот експеримент во спротивна насока и можеби ќе промени сервер што бил во ред.

Ако добавувачот ги објавува двете варијанти, чувајте ги двете датотеки и означете ги според мрежата за која одговараат. Два јасно именувани профили спречуваат случајно мешање на клиентски транспорт со серверски слушател што никогаш не бил конфигуриран за него.