OpenVPN koplar ikkje til på hotell-Wi-Fi? Prøv TCP 443

Opne klienten, trykk Kople til og les statuslinja i staden for dialogboksen som kjem etter. Ein profil som stoppar på Koplar til eller Ventar på tenar etter eit hotell-, campus- eller mobilnett, har som regel mista transporten ein stad på vegen, ikkje påloggingsinformasjonen. Det nyttige neste steget er å finne ut kva dette nettet fraktar før du rører tenaren. Ikkje endre noko før same profil har virka ein annan stad.

Test først frå eit mobilpunkt. Viss tunnelen kjem opp der, er tenaren, sertifikatet og kontoen i orden, og den einaste variabelen som står att er nettet framføre deg.

Start på klienten: les statuslinja

Statuslinja fortel kva trinn som feila. Ein klient som står fast på Koplar til, løyser framleis opp vertsnamnet eller opnar den ytre sokkelen; ein som når Ventar på tenar, har ein veg men ikkje noko svar; ein som autentiserer og deretter fell ut, har eit heilt anna problem. Klientloggen og profilens eigne remote- og proto-felt viser kva klienten prøver å gjere, og --verb 4 på ein kommandolinjeklient skriv ut same detalj. Det er samanlikninga med nettet framføre deg som gjer 'VPN-et er blokkert' til ei konkret påstand.

Deretter undersøk nettet med verktøya du allereie har. nc -vzu 203.0.113.10 1194 sender eit UDP-datagram, curl -v telnet://203.0.113.10:443 rapporterer om TCP-handtrykket vert fullført, og ein nettlesar som lastar ei HTTPS-side beviser berre at utgåande 443 når den eine verten. Små undersøkingar svarar på det VPN-klienten ikkje kan: kva port og kva protokoll som i det heile forlèt dette nettet.

Tre nettverksåtferder ser like ut frå klienten og krev ulike svar. Utgåande 443 kan vere open, berre ein proxy kan vere tillaten, eller 443 kan videresendast gjennomsiktig til ein inspeksjonsboks som ikkje kan lese det han fraktar. Den første vert retta med profilendringa nedanfor, den andre med proxyinnstillingar, og den tredje kan fullføre eit handtrykk og deretter stoppe når inspektøren bestemmer seg for at han ikkje likar straumen. Å vite kva av dei tre du står overfor er skilnaden mellom ei endring på ti minutt og ein ettermiddag med reinstallasjon av klientar.

Flytt lyttaren og profilen saman

På tenarsida set du lyttaren til det nettet tillèt: port 443 og proto tcp i tenarkonfigurasjonen, deretter start tenesta på nytt og stadfest sokkelen med ss -lntp. På klientsida må profilen stemme, fordi transport og port ligg utanfor tunnelen: proto tcp og port 443 i .ovpn, eller dei tilsvarande felta i innstillingsskjermen til appen. Ein profil som framleis er retta mot UDP 1194 feilar nøyaktig som før, og freistinga er å skylde på ein brannmur som alt er reparert. Viss same vert også svarar HTTPS på 443, kan dei to lyttarane ikkje dele den adressa og protokollen; gje VPN-et ei andre adresse eller set ein demultipleksar framfor.

Fylg den første sambandet med tcpdump -ni any port 443 i begge endar. Pakkar som forlèt klienten og aldri kjem fram betyr at nettet likevel filtrerer, eller at adressa i profilen ikkje er den du antek. Pakkar som kjem fram utan svar sender deg tilbake til tenarloggen, der eit protokollavvik straks viser seg som ein forkasta pakke.

Når berre ein proxy slepp ut av nettet

Nokre gjestenett tillèt ingenting anna enn ein HTTP-proxy, som er ei anna avgrensing enn ein lukka port og utelèt meir enn OpenVPN. Klientar som berre snakkar PPTP, L2TP/IPsec eller bar IPsec har ingen veg gjennom ein slik, fordi dei designa ventar at den ytre protokollen deira når tenaren direkte. OpenVPN kan, med http-proxy proxy.example.net 8080 i klientprofilen, så sant proxyen tillèt CONNECT-metoden til porten din. Ein SOCKS-proxy er endå enklare, fordi han sender straumen vidare utan å bry seg om kva som er inni.

Der klienten ikkje har proxy-støtte, er ein SSH-tunnel over 443 vanlegvis det som står att. Han legg til eit andre lag, og operatøren av nettet kan meine noko om det, så handsam han som ei bru for éi reise og ikkje som ein arkitektur.

Pris reserveløysinga før du held ho

TCP inne i TCP har ein kjend kostnad. Når den ytre sambandet er TCP og nyttelasten også er TCP, utløyser eit tapt segment retransmisjon på begge lag, og den indre sambandet trekker seg tilbake frå eit tap han ikkje kan sjå. Nettlesing toler det; interaktive økter og samtalar kjenner det. Hald TCP 443-lyttaren som reserve for nett som krev han, og la UDP vere standard for alt som framleis slepp han gjennom.

Skriv valet i profilnamnet og i støttenotata: kva port, kva protokoll og kva nett som utløyste det. Spør deretter administratoren av nettet om den porten vert ståande open etter neste utstyrsutskifting, fordi ein reserve som stille forsvinn er verre enn ingen reserve i det heile.