OpenVPN Connect odmieta fragment: opravte zdroj profilu

Chyba prichádza pri importe, ešte pred akýmkoľvek vyjednávaním, a uvádza direktívu, ktorú klient odmieta prijať. OpenVPN Connect beží na kóde knižnice OpenVPN 3, ktorá vôbec neimplementuje voľbu fragment komunitného klienta. Robí to z toho otázku kompatibility dvoch koncov, nie otázku ladenia veľkosti paketu.

Vymazaním riadku vznikne súbor, ktorý klient načíta, a server, ktorý môže stále očakávať formát, ktorý ten riadok opisoval. Prejdite to od obrazovky importu smerom von, skôr než čokoľvek upravíte.

Kde sa import zastaví

Importér spracúva direktívy skôr, než kontaktuje server, takže odmietnutie je tam miestnym rozhodnutím o syntaxi, nie sieťovým výsledkom, a OpenVPN zoznam nepodporovaných direktív zaznamenáva rovnaké obmedzenie. To vysvetľuje, ako jeden súbor môže fungovať v komunitnom klientovi a zlyhať v Connecte na tom istom počítači. Prečítajte v hlásení názov direktívy a pôvodný súbor si ponechajte, pretože ten text je jediným dôkazom o tom, proti čomu klient protestoval. Chyba importu a vypršanie časového limitu spojenia pochádzajú z rôznych fáz a zaslúžia si rôzne reakcie.

Ak hlásenie uvádza fragment, zostáva otázka, či na ňom závisí aj server. Odpovedzte na to skôr, než sa dotknete profilu, ktorý ste dostali.

Čo fragment v komunitnom klientovi mení

V komunitnom klientovi direktíva zapína vlastnú fragmentáciu datagramov OpenVPN, ktorá rozdeľuje užitočné zaťaženie skôr, než sa dostane do vonkajšej vrstvy IP. Existuje preto, aby prežila cesty, ktoré zahadzujú veľké UDP datagramy, a aby tunel zostal použiteľný tam, kde sa zisťovaniu MTU cesty nedá dôverovať. Nie je to synonymum zníženia MTU rozhrania a nie je to fragmentácia na úrovni IP vykonávaná operačným systémom. Klient bez tohto mechanizmu ho nezíska znížením čísla.

Keďže nastavenie žije aj v konfigurácii servera, odstránenie z vašej kópie mení iba vašu stranu. Server môže stále očakávať partnera, ktorý voľbe rozumie, a profil, ktorý sa načíta, ešte nie je relácia, ktorá sa nadviaže. Tieto dve skutočnosti vysvetľujú mätúci medzistav, v ktorom sa upravený súbor pripojí a potom uviazne.

Požiadajte o profil vytvorený pre tohto klienta

Čistou cestou je druhý profil dokumentovaný pre OpenVPN Connect, ak ho služba zverejňuje. Mnohí poskytovatelia to robia a rozdiel býva v direktívach, ktoré vynechávajú, nie v koncovom bode, na ktorý ukazujú. Žiadajte ho podľa názvu klienta, namiesto toho, aby ste opisovali chybu, pretože podpora dokáže priradiť profil klientovi oveľa rýchlejšie, než diagnostikovať orezaný súbor.

Ak server prevádzkujete vy, rozhodnutie je širšie než váš klient. Vypnutie fragmentácie zasiahne každého partnera, vrátane tých, ktorí ju potrebovali, aby zostali pripojení cez zlú cestu. Zverejnenie druhého poslucháča alebo druhej konfigurácie pre postihnutého klienta udrží existujúcich používateľov v prevádzke, kým novší klient dostane niečo, čo dokáže načítať. Nech sa rozhodnete akokoľvek, zapíšte, ktorá konfigurácia obsluhuje ktorého klienta, pretože toto mapovanie inak rýchlo zmizne.

Overte spojenie, nie iba import

Úspešný import dokazuje iba to, že parser súbor prijal. Nadviažte tunel komunitným klientom na stroji, ktorý ovládate, s rovnakým profilom, a čítajte log kvôli vyjednávaniu transportu a šifry. Príkazy nižšie to robia bez desktopovej aplikácie v ceste.

openvpn --config client.ovpn --verb 3
ip -4 addr show tun0
curl -sS --interface tun0 -o /dev/null -w '%{http_code}\n' --max-time 8 https://example.com/

Log ukazuje, kde sa pokus zastavil: chyba voľby sa objaví pred akoukoľvek výmenou TLS, zatiaľ čo chyba overenia alebo šifry sa objaví po nej. Ak tunel naskočí a požiadavka napriek tomu zlyhá, problém sa presunul z kompatibility na smerovanie. Porovnajte to so správaním Connectu v tej istej sieti, skôr než o serveri čokoľvek uzavriete.

Uchovajte funkčný profil a verziu klienta pri poznámke. Budúce vydanie klienta môže pridať podporu pre direktívu, a to zmení odpoveď bez toho, aby ktokoľvek siahol na server.