proto udp alebo tcp-client: ktorý z nich váš server počuje?

Profil, ktorý minulý mesiac fungoval, teraz vyprší a niekto navrhne zmeniť proto udp na proto tcp-client. Niekedy je to správny krok, inokedy tým vznikne klient, ktorý sa pripája k portu, kde nič nepočúva, pretože server nikdy nebol nakonfigurovaný pre druhý transport. Direktíva opisuje, ako hovorí vaša strana; nemôže vytvoriť poslucháča na druhej strane. Prečítajte si profil aj server spolu, než zmeníte ktorýkoľvek z nich.

Prečítajte transport, ktorý používa zvolené pripojenie

Profil môže obsahovať niekoľko záznamov remote a každý môže uviesť svoj vlastný transport. Klient ich prechádza v poradí, takže riadok, ktorý vidíte prvý, nemusí byť ten, ktorý sa použije.

Nájdite záznam, ktorý sa skutočne skúša, a potom si prečítajte jeho transport. Poradie je dôležité, pretože klient ticho neprechádza ďalej. Niektoré zostavenia skúšajú ďalší záznam až po časovom limite, takže funkčná alternatíva na konci súboru sa dosiahne o pár sekúnd neskôr, než čakáte. Sledujte v logu, ktorý koncový bod sa skúša, namiesto toho, aby ste predpokladali, že vyhral prvý riadok.

Ak má súbor jeden riadok proto blízko začiatku a niekoľko záznamov remote pod ním, tento riadok je predvolenou hodnotou pre každý remote, ktorý ho neprepíše. Miestna úprava predvolenej hodnoty nič neurobí pre záznam remote, ktorý uvádza svoj vlastný transport.

grep -nE '^(remote|proto)\b' client.ovpn

UDP a TCP nie sú nastavením rýchlosti

UDP posiela datagramy bez budovania usporiadaného toku, takže vlastná premávka tunela sa nezabaľuje do druhého spoľahlivého transportu. TCP vám dáva cestu cez siete, ktoré zahadzujú alebo blokujú UDP, za cenu vnoreného opätovného prenosu, ktorý môže strátové spojenie pocitovo zhoršiť.

Je to výmena dosiahnuteľnosti, nie univerzálny rebríček. Správna voľba je tá, ktorú sieť pred klientom dovolí. Cesta, ktorá zahadzuje UDP na porte VPN, nikdy nevyjedná, nech je profil napísaný akokoľvek dobre. Otestujte cestu a potom zvoľte transport.

Vyberať medzi nimi len podľa merania je chyba, pretože odpoveď závisí od toho, čo sieť pred vami dovolí. Hotel alebo firemné proxy môže povoliť odchádzajúci TCP na 443 a nič iné, a preto poskytovatelia túto variantu ponúkajú. Zostáva to pripojenie OpenVPN na tomto porte, nie relácia HTTPS, aj keď je číslo portu to známe.

Čo tcp-client vlastne znamená

Direktíva na strane klienta pomenúva stranu, ktorá začína pripojenie TCP. Strana servera používa svoju vlastnú formu počúvania a skopírovanie klientovho slova do konfigurácie servera vytvorí poslucháča, ktorý očakáva, že ho vytočia, nie toho, ktorý prijíma.

Zhoda znamená, že sa obe strany zhodnú na transporte, nie že zdieľajú ten istý reťazec.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Opýtajte sa servera, na čom počúva, skôr než predpokladáte, že profil je nesprávny. Poslucháč UDP sa v zozname TCP socketov neobjaví a naopak to platí tiež, preto sa pozerajte na pohľad špecifický pre protokol, nie na všeobecný.

Keď sa profil importuje, ale nikdy sa nepripojí

Importovaný profil, ktorý okamžite vyprší, zvyčajne zlyhá ešte pred akoukoľvek autentifikáciou. Paket ide na port bez poslucháča, alebo ho sieť ticho zahodí.

Otestujte cestu čo najjednoduchšie: pripojte sa k rovnakému hostiteľovi a portu s transportom, ktorý profil tvrdí, z tej istej siete ako zlyhávajúci klient.

Ak test UDP nič nedostane a test TCP sa pripojí, server ponúka druhý transport a profil je jednoducho zastaraný. Ak neodpovie ani jeden, problém je vyššie než voľba transportu a žiadna úprava profilu ho neopraví. Rozlíšenie týchto dvoch prípadov trvá minútu a ušetrí hodinu ladenia certifikátov, ktoré nikdy nebolo relevantné.

Zaznamenajte funkčný transport

Keď kombinácia funguje, zapíšte ju so serverom, portom a protokolom a poznamenajte, z ktorej siete bola testovaná.

Inak ďalší človek, ktorý narazí na vypršanie, zopakuje ten istý experiment opačným smerom a možno zmení server, ktorý bol v poriadku.

Ak poskytovateľ zverejňuje obe varianty, ponechajte oba súbory a označte ich podľa siete, pre ktorú sa hodia. Dva jasne pomenované profily bránia náhodnému zmiešaniu klientskeho transportu so serverovým poslucháčom, ktorý preň nikdy nebol nakonfigurovaný.