Għaliex profil OpenVPN jaħdem id-dar imma jfalli f'lukanda

Il-Wi-Fi tal-uffiċċju u kamra tal-lukanda jistgħu jagħtu lill-istess laptop żewġ netwerks differenti ħafna, u l-profil bejniethom ma jafx biha. Dak li jaħdem id-dar jassumi uplink permissiv, riżoluzzjoni tal-ismijiet li taħdem u subnetwork lokali li ma tikkoċċax ma' xejn li ġġorr it-tunnel. Kull waħda minn dawn l-assunzjonijiet tista' tfalli b'mod indipendenti.

Il-mod utli biex tissewwa dan huwa li tittratta n-netwerk bħala erba' fatti separati, imbagħad tittestjahom fl-ordni. Li taħseb dwar il-profil l-ewwel normalment jagħmel bidla li ma ssewwi xejn u taħbi l-evidenza.

Erba' fatti tan-netwerk jinbidlu bejn il-postijiet

L-ewwel fatt huwa jekk in-netwerk lokali jħallikx toħroġ xejn. Portal tal-login idaħħal apparat f'paġna tal-login u jimblokka kull ħaġa oħra sakemm dik il-paġna titlesta, li jfisser li t-tunnel ma jistax jibda, kemm ikun korrett il-profil.

It-tieni huwa r-riżoluzzjoni tal-ismijiet. Portal li jinterċetta d-DNS iwieġeb kull mistoqsija bl-indirizz tiegħu stess, allura l-isem tal-host tal-VPN jiġi riżolt għall-portal u l-klijent jipprova jibni tunnel lejn paġna web.

It-tielet huwa l-filtrazzjoni tat-trasport. Netwerks li jridu jippermettu biss il-qari jgħaddu TCP 443 lejn destinazzjonijiet arbitrarji u jwarrbu kważi kull ħaġa oħra, inkluż UDP.

Ir-raba' huwa l-indirizzar. Is-subnetwork lokali jista' jikkoċċa ma' netwerk wara t-tunnel, jew l-uplink jista' ma joffri l-ebda passaġġ IPv4 li jista' jintuża.

Riżoluzzjoni tal-ismijiet u l-portal tal-login

Ibdel l-isem tal-host fil-profil bl-indirizz numeriku tas-server u erġa' pprova. Jekk l-IP tikkonnettja u l-isem le, ir-riżoluzzjoni hija l-ħtija, u l-profil innifsu tajjeb.

Iftaħ browser u pprova paġna HTTP ordinarja qabel ma tmiss il-VPN. Ridirezzjoni lejn paġna tal-login tfisser li l-portal għadu pendenti; lestiha, imbagħad erġa' qabbad. Ħafna lukandi wkoll jiskadu s-sessjoni wara ftit sigħat, li jidher bħal qtugħ f'nofs in-nhar u mhux bħala problema tal-login.

Jekk l-indirizz numeriku wkoll jfalli, ir-riżoluzzjoni mhix l-ispjegazzjoni, għalhekk mur għat-trasport. Żomm l-indirizz li ttestjajt, għax jgħid lill-verifika li jmiss jekk il-pakketti ħarġux mill-magna xejn.

Filtrazzjoni tat-trasport: l-ewwel UDP, TCP 443 bħala rikors

Fluss OpenVPN fuq UDP 1194 ma jidhirx bħal xejn li firewall tal-lukanda jagħraf, allura jinweraq mingħajr żball. Il-klijent jerġa' jipprova sakemm jiskadi l-ħin tiegħu, u l-utent jara konnessjoni li qatt ma tiġi stabbilita minflok rifjut. Firewalls li jaġixxu hekk rarament jirreġistraw it-twarrib f'post li tista' tarah. In-nuqqas ta' rifjut huwa nnifsu l-ħjiel.

TCP 443 huwa r-rikors affidabbli għax in-netwerk ma jistax jiddistingwih minn HTTPS ordinarju. Uża l-profil TCP tal-operatur meta jkun hemm, għax is-server ukoll irid jisma' fuq dak it-trasport u dak il-port; li tibdel biss il-klijent jipproduċi tip differenti ta' falliment. Jekk ma jkunx hemm profil TCP, staqsi lill-operatur minflok ma toħloq wieħed billi tibdel il-port. In-naħa tas-server trid taqbel, u nuqqas ta' qbil jerġa' jidher bħal problema tal-firewall.

Stenna kost fil-prestazzjoni. TCP ġewwa TCP iżid it-trasmissjonijiet mill-ġdid fuq kollegament bi telf, allura tunnel TCP li jaħdem xorta jista' jidher bil-mod fuq netwerk tal-lukanda konġestjonat. Dan huwa skambju għall-aċċessibilità, mhux difett li tiġri warajh.

Kolliżjonijiet tal-indirizzi u uplinks mingħajr IPv4

Tunnel jista' jiġi stabbilit u xorta ma jġorr xejn. Meta l-LAN lokali u netwerk remot jaqsmu prefiss bħal 192.168.1.0/24, il-klijent iqis il-host remot bħala konness direttament u jibgħat il-pakkett lill-kollegament lokali minflok it-tunnel. Is-sintomu huwa konnessjoni b'suċċess b'subnetwork wieħed li ma jintlaħaqx, li faċli tinqara ħażin bħala problema tar-rotta fuq in-naħa tas-server.

Il-fejqan permanenti huwa li tmexxi l-LAN remot għal firxa privata mhux komuni. L-għażla ta' firxa li ħadd ma juża id-dar, bħal 10.42.0.0/24, tipprevjeni l-problema għal kull post futur minflok wieħed. Il-mezz lokali huwa li tevita dik il-lukanda, hotspot jew router, li mhuwa xejn fejqan.

Uplinks mobbli jżidu żewġ varjanti. NAT fil-livell tal-operatur ifisser li konnessjonijiet deħlin ma jaslux, li jgħodd jekk qed tħaddem server imma mhux għal klijent li joħroġ. APN ikkonfigurat b'IPv6 biss b'traduzzjoni NAT64 jista' jfalli klijent li jinsisti fuq passaġġ IPv4 reali, u l-mediċina tas-soltu hija li tibdel il-protokoll tal-APN għal IPv4 jew stakk doppju.

Sintomi wara li t-tunnel ikun tela'

Tunnel li jikkonnettja u mbagħad jiskot normalment hija problema ta' keepalive jew MTU, mhux port imblukkat. Konnessjoni li taqa' wara numru fiss ta' minuti tindika timer ta' keepalive jew ta' negozjazzjoni mill-ġdid. Issettja l-klijent biex jissonda lill-pari tiegħu u jerġa' jibda meta l-wegħbiet jieqfu, u pprova MTU tat-tunnel iżgħar jekk il-ping jgħaddi waqt li trasferimenti kbar jieqfu.

Qabel ma titlob għajnuna, ikteb tliet affarijiet: l-indirizz li pprova u jekk wieġebx, it-trasport u l-port li użajt, u s-subnetwork lokali tan-netwerk li falla. Flimkien jifirdu r-riżoluzzjoni tal-ismijiet mill-filtrazzjoni tat-trasport u minn kolliżjoni tal-indirizzi, u dawn huma l-kawżi li jgħaddu mill-kuntatt mal-evidenza.