proto udp eller tcp-client: kven høyrer serveren din?

Ein profil som fungerte førre månad, går no ut på tid, og nokon føreslår å bytte proto udp til proto tcp-client. Nokre gonger er det rett trekk, andre gonger gir det ein klient som koplar til ein port der ingenting lyttar, fordi serveren aldri vart konfigurert for den andre transporten. Direktivet skildrar korleis di side snakkar; det kan ikkje opprette ein lyttar i den andre enden. Les profilen og serveren saman før du endrar nokon av dei.

Les transporten som den valde sambindinga brukar

Ein profil kan innehalde fleire remote-oppføringar, og kvar av dei kan nemne sin eigen transport. Klienten går gjennom dei i rekkjefølgje, så linja du ser først er ikkje nødvendigvis den som gjeld.

Finn oppføringa som faktisk vert prøvd, og les deretter transporten. Rekkjefølgja betyr noko, fordi klienten ikkje går vidare i stillheit. Nokre bygg prøver neste oppføring først etter ein tidsavbrot, så eit fungerande alternativ nedst i fila vert nådd sekund seinare enn du ventar. Følg med i loggen på kva endepunkt som vert prøvd, i staden for å anta at den første linja vann.

Viss fila har éi proto-linje nær toppen og fleire remote-oppføringar under, er den linja standard for kvar remote som ikkje overstyrer henne. Ei lokal endring av standarden gjer ingenting for ei remote-oppføring som nemner sin eigen transport.

grep -nE '^(remote|proto)\b' client.ovpn

UDP og TCP er ikkje ei fartsinnstilling

UDP sender datagram utan å byggje ein ordna straum, så trafikken til sjølve tunnelen vert ikkje pakka inn i ein annan påliteleg transport. TCP gjev deg ein veg gjennom nettverk som droppar eller blokkerer UDP, til prisen av innebygd omsending som kan få ei tapande lenkje til å kjennast verre.

Dette er ein handel om tilgjenge, ikkje ein universell rangering. Det rette valet er det nettverket framom klienten tillèt. Ein veg som droppar UDP på VPN-porten vil aldri forhandle, uansett kor godt profilen er skriven. Test vegen, og vel deretter transporten.

Å velje mellom dei berre ut frå ei måling er ein feil, fordi svaret avheng av kva nettverket framom deg tillèt. Eit hotell eller ein bedriftsproxy kan tillate utgåande TCP på 443 og ingenting anna, og difor tilbyr leverandørar den varianten. Det blir verande ei OpenVPN-sambinding på den porten, ikkje ei HTTPS-økt, sjølv om portnummeret er det kjende.

Kva tcp-client eigentleg tyder

Direktivet på klientsida nemner enden som startar ei TCP-sambinding. Serversida brukar sin eigen lyttande form, og å kopiere ordet til klienten inn i ein serverkonfigurasjon gir ein lyttar som ventar å bli ringt opp, ikkje ein som godtek.

Å matche tyder at dei to endane er samde om transporten, ikkje at dei deler same streng.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Spør serveren kva han lyttar på før du antek at profilen er feil. Ein UDP-lyttar visest ikkje i ei TCP-socketliste, og det motsette er også sant, så sjå den protokollspesifikke visninga i staden for ei generisk.

Når profilen vert importert, men aldri koplar til

Ein importert profil som går ut på tid med ein gong, feilar vanlegvis før noka autentisering. Pakken går til ein port utan lyttar, eller nettverket droppar han i stillheit.

Test vegen på den enklaste måten: kople til same vert og port med transporten profilen hevdar, frå same nettverk som klienten som feilar.

Viss ein UDP-test ikkje får noko og ein TCP-test koplar til, tilbyr serveren den andre transporten, og profilen er rett og slett utdatert. Viss ingen av dei svarar, ligg problemet før transportvalet, og inga endring av profilen vil fikse det. Å skilje desse to tilfella tek eitt minutt og sparer ein time med sertifikatfeilsøking som aldri var relevant.

Skriv ned den fungerande transporten

Når ein kombinasjon verkar, skriv han ned med server, port og protokoll, og noter kva nettverk han vart testa frå.

Elles vil neste person som treffer ein tidsavbrot prøve same eksperimentet i motsett retning, og kanskje endre ein server som var i orden.

Viss leverandøren publiserer båe variantane, hald på båe filene og merke dei etter nettverket dei passar for. To tydeleg namngjevne profilar hindrar den tilfeldige blandinga av ein klienttransport med ein serverlyttar som aldri vart konfigurert for han.