proto udp eller tcp-client: hvilken hører serveren din?

En profil som fungerte forrige måned, går nå ut på tid, og noen foreslår å bytte proto udp til proto tcp-client. Noen ganger er det riktig trekk, andre ganger gir det en klient som kobler til en port der ingenting lytter, fordi serveren aldri ble konfigurert for den andre transporten. Direktivet beskriver hvordan din side snakker; det kan ikke opprette en lytter i den andre enden. Les profilen og serveren sammen før du endrer noen av dem.

Les transporten som den valgte forbindelsen bruker

En profil kan inneholde flere remote-oppføringer, og hver av dem kan angi sin egen transport. Klienten går gjennom dem i rekkefølge, så linjen du ser først er ikke nødvendigvis den som gjelder.

Finn oppføringen som faktisk prøves, og les deretter transporten. Rekkefølgen betyr noe, fordi klienten ikke går videre i stillhet. Noen bygg prøver neste oppføring først etter en tidsavbrudd, så et fungerende alternativ nederst i filen nås sekunder senere enn du forventer. Følg med i loggen på hvilket endepunkt som prøves, i stedet for å anta at den første linjen vant.

Hvis filen har én proto-linje nær toppen og flere remote-oppføringer under den, er den linjen standard for enhver remote som ikke overstyrer den. En lokal endring av standarden gjør ingenting for en remote-oppføring som angir sin egen transport.

grep -nE '^(remote|proto)\b' client.ovpn

UDP og TCP er ikke en hastighetsinnstilling

UDP sender datagrammer uten å bygge en ordnet strøm, så tunnelens egen trafikk pakkes ikke inn i en annen pålitelig transport. TCP gir deg en vei gjennom nettverk som dropper eller blokkerer UDP, til prisen av innebygd omsending som kan få en tapende lenke til å føles verre.

Dette er en handel om tilgjengelighet, ikke en universell rangering. Det riktige valget er det nettverket foran klienten tillater. En vei som dropper UDP på VPN-porten vil aldri forhandle, uansett hvor godt profilen er skrevet. Test veien, og velg deretter transporten.

Å velge mellom dem bare ut fra en måling er en feil, fordi svaret avhenger av hva nettverket foran deg tillater. Et hotell eller en bedriftsproxy kan tillate utgående TCP på 443 og ingenting annet, og derfor tilbyr leverandører den varianten. Det forblir en OpenVPN-forbindelse på den porten, ikke en HTTPS-økt, selv om portnummeret er det kjente.

Hva tcp-client egentlig betyr

Direktivet på klientsiden navngir enden som starter en TCP-forbindelse. Serversiden bruker sin egen lyttende form, og å kopiere klientens ord inn i en serverkonfigurasjon gir en lytter som forventer å bli ringt opp, ikke en som godtar.

Å matche betyr at de to endene er enige om transporten, ikke at de deler samme streng.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Spør serveren hva den lytter på før du antar at profilen er feil. En UDP-lytter vises ikke i en TCP-socketliste, og det motsatte er også sant, så se den protokollspesifikke visningen i stedet for en generisk.

Når profilen importeres, men aldri kobler til

En importert profil som går ut på tid med en gang, feiler vanligvis før noen autentisering. Pakken går til en port uten lytter, eller nettverket dropper den i stillhet.

Test veien på den enkleste måten: koble til samme vert og port med transporten profilen hevder, fra samme nettverk som klienten som feiler.

Hvis en UDP-test ikke får noe og en TCP-test kobler til, tilbyr serveren den andre transporten, og profilen er rett og slett utdatert. Hvis ingen av dem svarer, ligger problemet før transportvalget, og ingen endring av profilen vil fikse det. Å skille disse to tilfellene tar ett minutt og sparer en time med sertifikatfeilsøking som aldri var relevant.

Skriv ned den fungerende transporten

Når en kombinasjon virker, skriv den ned med server, port og protokoll, og noter hvilket nettverk den ble testet fra.

Ellers vil neste person som treffer en tidsavbrudd prøve samme eksperiment i motsatt retning, og kanskje endre en server som var i orden.

Hvis leverandøren publiserer begge variantene, behold begge filene og merk dem etter nettverket de passer for. To tydelig navngitte profiler hindrer den tilfeldige blandingen av en klienttransport med en serverlytter som aldri ble konfigurert for den.