OpenVPN Connect avviser fragment: rett opp profilkilden

Feilen kommer ved import, før noen forhandling, og navngir et direktiv klienten nekter å godta. OpenVPN Connect kjører OpenVPN 3-bibliotekkode, som ikke implementerer fellesskapsklientens fragment-valg i det hele tatt. Det gjør dette til et kompatibilitetsspørsmål mellom to endepunkter, ikke et tuning-spørsmål om pakkestørrelse.

Sletter du linjen, får du en fil klienten kan parse, og en server som kanskje fortsatt forventer formatet linjen beskrev. Gå gjennom det fra importskjermen og utover før du redigerer noe.

Hvor importen stopper

Importøren parser direktiver før den kontakter serveren, så en avvisning der er en lokal beslutning om syntaks og ikke et nettverksresultat, og OpenVPNs liste over direktiver som ikke støttes registrerer samme begrensning. Det forklarer hvordan én fil kan virke i fellesskapsklienten og feile i Connect på samme maskin. Les direktivnavnet i meldingen og ta vare på originalfilen, fordi den teksten er det eneste beviset på hva klienten protesterte mot. En importfeil og en tidsavbrutt tilkobling kommer fra ulike faser og fortjener ulike svar.

Hvis meldingen navngir fragment, står spørsmålet om serveren også er avhengig av det. Svar på det før du rører profilen du fikk.

Hva fragment endrer i fellesskapsklienten

I fellesskapsklienten slår direktivet på OpenVPNs egen datagramfragmentering, som deler nyttelasten før den når det ytre IP-laget. Den finnes for å overleve baner som slipper store UDP-datagrammer, og for å holde en tunnel brukbar der man ikke kan stole på sti-MTU-oppdagelse. Det er ikke synonymt med å senke grensesnittets MTU, og det er ikke IP-fragmentering utført av operativsystemet. En klient uten mekanismen får den ikke ved å senke et tall.

Fordi innstillingen også ligger i serverkonfigurasjonen, endrer det bare din side å fjerne den fra din kopi. Serveren forventer kanskje fortsatt en motpart som forstår valget, og en profil som parses er ennå ikke en økt som etableres. Disse to fakta forklarer den forvirrende mellomtilstanden der en redigert fil kobler til og deretter stopper.

Be om en profil bygget for denne klienten

Den rene veien er en annen profil dokumentert for OpenVPN Connect, hvis tjenesten publiserer en. Mange leverandører gjør det, og forskjellen er vanligvis direktivene de utelater, ikke endepunktet de peker på. Be om den ved klientnavnet i stedet for å beskrive feilen, siden en supportdesk kan matche en profil til en klient mye raskere enn den kan diagnostisere en strippet fil.

Hvis du driver serveren, er beslutningen bredere enn din egen klient. Slår du av fragmentering, rammer det hver motpart, også dem som trengte det for å holde seg tilkoblet over en dårlig bane. Å publisere en annen lytter eller en annen konfigurasjon for den berørte klienten holder eksisterende brukere i gang mens den nyere klienten får noe den kan parse. Uansett hvordan du gjør det, skriv ned hvilken konfigurasjon som betjener hvilken klient, for den koblingen forsvinner ellers raskt.

Bekreft tilkoblingen, ikke bare importen

En vellykket import beviser bare at parseren godtok filen. Etabler tunnelen med fellesskapsklienten på en maskin du kontrollerer, med samme profil, og les loggen for transport- og krypteringsforhandling. Kommandoene nedenfor gjør det uten at skrivebordsappen er i veien.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Loggen viser hvor forsøket stoppet: en valgfeil vises før noen TLS-utveksling, mens en autentiserings- eller krypteringsfeil vises etter. Hvis tunnelen kommer opp og forespørselen fortsatt feiler, har problemet flyttet seg fra kompatibilitet til ruting. Sammenlign det med Connects oppførsel på samme nettverk før du konkluderer noe om serveren.

Hold den fungerende profilen og klientversjonen ved siden av notatet. En fremtidig klientutgivelse kan legge til støtte for et direktiv, og det endrer svaret uten at noen rører serveren.