OpenVPN Connect rejeita fragment: corrija a origem do perfil

O erro chega na importação, antes de qualquer negociação, e nomeia uma diretiva que o cliente se recusa a aceitar. O OpenVPN Connect executa código da biblioteca OpenVPN 3, que não implementa de todo a opção fragment do cliente da comunidade. Isso transforma o assunto numa questão de compatibilidade entre dois extremos e não numa questão de ajuste do tamanho do pacote.

Apagar a linha produz um ficheiro que o cliente irá analisar, e um servidor que talvez ainda espere o formato que a linha descrevia. Percorra o problema desde o ecrã de importação para fora antes de alterar seja o que for.

Onde a importação para

O importador analisa as diretivas antes de contactar o servidor, pelo que uma recusa aí é uma decisão local sobre sintaxe e não um resultado de rede, e a lista de diretivas não suportadas do OpenVPN regista a mesma limitação. Isso explica como um mesmo ficheiro pode funcionar no cliente da comunidade e falhar no Connect na mesma máquina. Leia a mensagem para saber o nome da diretiva e guarde o ficheiro original, porque esse texto é a única prova daquilo a que o cliente se opôs. Um erro de importação e um tempo limite de ligação vêm de fases diferentes e merecem respostas diferentes.

Se a mensagem nomear fragment, resta a pergunta de saber se o servidor também depende dele. Responda a isso antes de tocar no perfil que lhe deram.

O que fragment muda no cliente da comunidade

No cliente da comunidade, a diretiva ativa a fragmentação de datagramas própria do OpenVPN, que divide as cargas antes de chegarem à camada IP exterior. Existe para sobreviver a caminhos que descartam datagramas UDP grandes e para manter um túnel utilizável onde não se pode confiar na descoberta da MTU do caminho. Não é sinónimo de baixar a MTU da interface, nem é a fragmentação ao nível de IP feita pelo sistema operativo. Um cliente sem o mecanismo não o adquire baixando um número.

Como a definição também vive na configuração do servidor, retirá-la da sua cópia muda apenas o seu lado. O servidor talvez ainda espere um par que compreenda a opção, e um perfil que é analisado ainda não é uma sessão que se estabelece. Esses dois factos explicam o estado intermédio confuso em que um ficheiro editado liga e depois encrava.

Peça um perfil criado para este cliente

O caminho limpo é um segundo perfil documentado para o OpenVPN Connect, se o serviço publicar um. Muitos fornecedores fazem-no, e a diferença está geralmente nas diretivas que omitem e não no extremo para o qual apontam. Peça-o pelo nome do cliente em vez de descrever o erro, já que um serviço de apoio consegue emparelhar um perfil com um cliente muito mais depressa do que diagnosticar um ficheiro despido.

Se for você a gerir o servidor, a decisão é mais ampla do que o seu próprio cliente. Desativar a fragmentação afeta todos os pares, incluindo os que precisavam dela para se manterem ligados por um caminho mau. Publicar um segundo ouvinte ou uma segunda configuração para o cliente afetado mantém os utilizadores existentes a funcionar enquanto o cliente mais recente recebe algo que consegue analisar. Seja como for, anote qual configuração serve qual cliente, porque essa correspondência desaparece depressa caso contrário.

Verifique a ligação, não apenas a importação

Uma importação bem-sucedida prova apenas que o analisador aceitou o ficheiro. Estabeleça o túnel com o cliente da comunidade numa máquina que controle, com o mesmo perfil, e leia o registo para a negociação de transporte e de cifra. Os comandos abaixo fazem isso sem a aplicação de ambiente de trabalho no caminho.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

O registo mostra onde a tentativa parou: um erro de opção aparece antes de qualquer troca TLS, enquanto uma falha de autenticação ou de cifra aparece depois. Se o túnel sobe e o pedido continua a falhar, o problema passou da compatibilidade para o encaminhamento. Compare isso com o comportamento do Connect na mesma rede antes de concluir algo sobre o servidor.

Guarde o perfil que funciona e a versão do cliente junto da nota. Uma futura versão do cliente pode acrescentar suporte para uma diretiva, e isso muda a resposta sem que ninguém toque no servidor.