Protokol manakah yang sebenarnya ditawarkan oleh nod VPN awam ini?

Perisian menyokongnya, jadi nod menawarkannya. Kesimpulan itu cukup kerap salah sehingga menjadi peraturan: penggunaan SoftEther boleh mengaktifkan mana-mana subset kaedah sambungan serasinya, dan nod awam ialah penggunaan dengan pemilik dan konfigurasi. Apa yang anda boleh sambung bergantung pada nod itu, bukan pada senarai ciri projek yang dijalankannya. Jurang antara kedua-duanya ialah tempat kebanyakan tiket “protokol itu rosak” sebenarnya tinggal.

Apa yang sebenarnya dijanjikan oleh senarai projek

Fungsi protokol projek menerangkan apa yang mampu dilakukan oleh pelayan. Sesuatu nod mengaktifkan sebahagian pendengar itu dan bukan yang lain, dan pengendali boleh menukar set itu tanpa menyentuh versi perisian. Oleh itu dua nod pada binaan yang sama berkelakuan berbeza, dan profil yang berfungsi terhadap satu tidak membuktikan apa-apa tentang sasaran seterusnya. Senarai nod itu sendiri mengatasi halaman projek apabila anda memilih tempat untuk menyambung.

Baca senarai itu sebagai lima medan, bukan sebagai menu: titik akhir, port, pengangkutan, keluarga protokol dan kaedah pengesahan. Nod awam yang mengiklankan SSTP telah memberitahu anda tentang pendengar pada sesuatu port; ia tidak memberitahu anda sijil mana yang dikemukakannya atau sama ada akaun anda berfungsi di sana. Membandingkan kelima-lima medan itu dengan profil anda lebih pantas daripada berapa banyak pun pemasangan semula klien, dan ia menghasilkan jangkaan bertulis yang boleh anda uji kemudian.

Padankan profil dengan titik akhir yang dinamakannya

Entri SoftEther asli bukan secara automatik konfigurasi OpenVPN, walaupun kedua-duanya muncul pada satu halaman pembekal di bawah satu tajuk. Apabila nod menerbitkan kedua-dua pendengar TCP dan UDP untuk OpenVPN, anggap keduanya sebagai dua titik akhir: profil yang disunting daripada satu ke yang lain menunjuk kepada pendengar yang tiada siapa aktifkan. Label pengangkutan dalam fail itu ialah bahagian alamat, bukan tetapan kosmetik.

Klien menerima fail yang diimport membuktikan fail itu dihuraikan. Ia tidak menyatakan apa-apa tentang sama ada pendengar jauh menunggu di hujung yang lain, sebab itulah percubaan sambungan pertama ialah ujian sebenar. Bandingkan baris jauh profil dengan hos dan port yang diumumkan oleh nod sebelum menyalahkan protokol itu.

Periksa peringkat yang gagal

Hos yang menjawab trafik web masih boleh kekurangan perkhidmatan VPN yang dimaksudkan, dan hos yang menolak satu protokol tidak semestinya mati untuk semuanya. Dua kesilapan itu menghantar orang ke arah bertentangan pada petang yang sama. Yang satu mengejar tembok api yang sebenarnya baik; yang lain memasang semula klien yang tidak pernah menjadi masalah. Periksa setiap laluan secara berasingan supaya jawapannya menerangkan satu pendengar dan bukan seluruh hos.

Kelima-lima pemeriksaan ini merangkumi kaedah biasa nod awam. Jalankannya dari rangkaian yang sama dengan yang digunakan oleh klien, kerana port yang ditapis kelihatan sama seperti pendengar yang hilang dari jauh.

nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example

Kaitkan setiap ralat yang diperhatikan dengan barisnya sebelum mengubah apa-apa. Kegagalan identiti TLS membuktikan pendengar itu wujud, jadi menulis semula profil kepada protokol lain akan membuang bukti yang berfungsi. Sambungan yang ditolak hanya membuktikan port ini tidak menjawab, yang merupakan kenyataan jauh lebih sempit daripada “nod ini tidak menyokong OpenVPN”.

Simpan ralat itu sebelum mengubah apa-apa

Catat keputusan yang tepat: tamat masa, kegagalan identiti sijil, penolakan akaun dan penolakan pada peringkat aplikasi ialah empat hasil yang berbeza. Hanya yang pertama tentang protokol yang tidak tersedia, dan hanya yang terakhir tentang kebenaran selepas sambungan berjaya. Menetap semula klien atau menukar protokol memusnahkan perbezaan itu, kerana kegagalan seterusnya datang dengan sejarah berbeza dan tanpa garis dasar untuk dibandingkan.

Jangan lemahkan pengesahan untuk membuat profil yang tidak serasi kelihatan berfungsi. Pemeriksaan sijil yang dilumpuhkan mengubah kegagalan identiti yang jelas menjadi sambungan ke sesuatu yang anda tidak niatkan, dan kejayaan yang terhasil lebih buruk daripada ralat asal kerana ia menyembunyikan peringkat mana yang salah.

Periksa semula bagi setiap nod, setiap kali

Pilihan asli SSL, OpenVPN, L2TP/IPsec dan SSTP pada senarai nod awam menerangkan konfigurasi nod itu pada saat itu. Perisian yang sama di tempat lain boleh menyampaikan set yang berbeza, dan pembekal boleh menarik balik pendengar antara penanda halaman anda dan percubaan anda yang seterusnya. Nota lama menerangkan penggunaan lama.

Catat profil yang disahkan bersama titik akhir dan kaedahnya, kemudian ulangi pemeriksaan apabila nod berubah atau sambungan mula gagal. Spesifikasi protokol SoftEther ialah rujukan untuk apa yang mampu dilakukan oleh perisian; senarai nod itu sendiri ialah rujukan untuk apa yang dilakukannya. Pisahkan kedua-dua dokumen itu dan diagnosis menjadi lebih pendek.