OpenVPN sa nepripája na hotelovú Wi-Fi? Skúste TCP 443

Otvorte klienta, stlačte Pripojiť a čítajte stavový riadok namiesto dialógu, ktorý nasleduje. Profil, ktorý sa po hotelovej, kampusovej alebo mobilnej sieti zasekne na Pripája sa alebo Čaká na server, zvyčajne niekde na ceste stratil transport, nie prihlasovacie údaje. Ďalším užitočným krokom je zistiť, čo táto sieť prenáša, skôr než sa dotknete servera. Nič nemeňte, kým ten istý profil nefunguje inde.

Najprv otestujte z hotspotu telefónu. Ak sa tunel tam zdvihne, server, certifikát a účet sú v poriadku a jediná zostávajúca premenná je sieť pred vami.

Začnite na klientovi: prečítajte stavový riadok

Stavový riadok povie, ktorá fáza zlyhala. Klient zaseknutý na Pripája sa ešte rozlišuje názov hostiteľa alebo otvára vonkajší socket; ten, čo dosiahne Čaká na server, má cestu, ale nemá odpoveď; ten, čo sa autentifikuje a potom spadne, má úplne iný problém. Klientsky log a vlastné polia remote a proto profilu ukazujú, čo sa klient pokúša urobiť, a --verb 4 na klientovi z príkazového riadka vypisuje rovnaký detail. Práve porovnanie so sieťou pred vami mení 'VPN je zablokovaná' na konkrétne tvrdenie.

Potom preverte sieť nástrojmi, ktoré už máte. nc -vzu 203.0.113.10 1194 odošle UDP datagram, curl -v telnet://203.0.113.10:443 hlási, či sa TCP podanie rúk dokončí, a prehliadač, ktorý načíta HTTPS stránku, dokazuje len to, že odchádzajúci 443 dosiahne tohto jedného hostiteľa. Malé sondy odpovedajú na to, čo klientský VPN nemôže: ktorý port a ktorý protokol vôbec opúšťajú túto sieť.

Tri správania siete vyzerajú z klienta rovnako a vyžadujú rôzne odpovede. Odchádzajúci 443 môže byť otvorený, môže byť povolené len proxy, alebo 443 môže byť priehľadne presmerovaný do inšpekčnej skrinky, ktorá nevie prečítať, čo prenáša. Prvé sa rieši zmenou profilu nižšie, druhé nastaveniami proxy a tretie môže dokončiť podanie rúk a potom sa zaseknúť, keď inšpektor rozhodne, že sa mu tok nepáči. Vedieť, s ktorým z troch máte do činenia, je rozdiel medzi zmenou na desať minút a popoludním preinštalovania klientov.

Presuňte listener a profil spolu

Na strane servera nastavte listener na to, čo sieť dovoľuje: port 443 a proto tcp v konfigurácii servera, potom reštartujte službu a potvrďte socket pomocou ss -lntp. Na strane klienta musí profil súhlasiť, pretože transport a port stoja mimo tunela: proto tcp a port 443 v .ovpn alebo zodpovedajúce polia na obrazovke nastavení aplikácie. Profil stále namierený na UDP 1194 zlyháva presne ako predtým a pokušenie je obviniť firewall, ktorý je už opravený. Ak ten istý hostiteľ odpovedá aj na HTTPS na 443, dva listenery nemôžu zdieľať tú adresu a protokol; dajte VPN druhej adresu alebo pred ne postavte demultiplexor.

Sledujte prvé spojenie s tcpdump -ni any port 443 na oboch koncoch. Pakety, ktoré opustia klienta a nikdy nedorazia, znamenajú, že sieť predsa filtruje, alebo že adresa v profile nie je tá, ktorú predpokladáte. Pakety, ktoré dorazia bez odpovede, vás vrátia k serverovému logu, kde sa nesúlad protokolu okamžite prejaví ako zahodený paket.

Keď zo siete vychádza iba proxy

Niektoré hosťovské siete nepovoľujú nič okrem HTTP proxy, čo je iné obmedzenie než zatvorený port a vylučuje viac ako OpenVPN. Klienti, ktorí hovoria len PPTP, L2TP/IPsec alebo holým IPsec, nemajú cez ňu cestu, pretože tie návrhy očakávajú, že ich vonkajší protokol dosiahne server priamo. OpenVPN to dokáže, s http-proxy proxy.example.net 8080 v profile klienta, ak proxy povoľuje metódu CONNECT na váš port. Proxy SOCKS je ešte jednoduchšia, pretože posiela tok ďalej bez starosti o to, čo je vnútri.

Kde klient nemá podporu proxy, zvyčajne zostáva SSH tunel cez 443. Pridáva druhú vrstvu a prevádzkovateľ siete na to môže mať názor, tak ho berte ako most pre jednu cestu, nie ako architektúru.

Ocenite záložnú cestu, kým si ju ponecháte

TCP v TCP má známu cenu. Keď je vonkajšie spojenie TCP a užitočné zaťaženie tiež TCP, stratený segment vyvolá opätovné odoslanie na oboch vrstvách a vnútorné spojenie ustupuje pred stratou, ktorú nevidí. Prehliadanie to znesie; interaktívne relácie a hovory to cítia. Ponechajte listener TCP 443 ako záložnú cestu pre siete, ktoré ho vyžadujú, a UDP nechajte ako predvolené pre všetko, čo ho ešte prepúšťa.

Zapíšte voľbu do názvu profilu a do poznámok podpory: ktorý port, ktorý protokol a ktorá sieť ju vyvolala. Potom sa opýtajte správcu siete, či ten port zostane otvorený po najbližšej výmene zariadení, pretože záložná cesta, ktorá potichu zmizne, je horšia než žiadna záložná cesta.