OpenVPN se ne poveže na hotelski Wi-Fi? Poskusite TCP 443

Odprite odjemalca, pritisnite Poveži in berite statusno vrstico namesto pogovornega okna, ki sledi. Profil, ki se po hotelskem, kampusnem ali mobilnem omrežju ustavi pri Povezovanje ali Čakanje na strežnik, je običajno nekje na poti izgubil transport, ne poverilnic. Naslednji koristen korak je ugotoviti, kaj to omrežje prenaša, preden se dotaknete strežnika. Ničesar ne spreminjajte, dokler isti profil ne deluje drugje.

Najprej preizkusite s telefonske dostopne točke. Če se tunel tam dvigne, so strežnik, potrdilo in račun v redu, edina preostala spremenljivka pa je omrežje pred vami.

Začnite pri odjemalcu: preberite statusno vrstico

Statusna vrstica pove, katera faza je spodletela. Odjemalec, obtičal pri Povezovanje, še razrešuje ime gostitelja ali odpira zunanjo vtičnico; tisti, ki doseže Čakanje na strežnik, ima pot, a nima odgovora; tisti, ki se overi in nato pade, ima povsem drugo težavo. Dnevnik odjemalca in lastna polja remote ter proto profila kažejo, kaj odjemalec poskuša, in --verb 4 pri odjemalcu iz ukazne vrstice izpiše enake podrobnosti. Prav primerjava z omrežjem pred vami spremeni 'VPN je blokiran' v konkretno trditev.

Nato preizkusite omrežje z orodji, ki jih že imate. nc -vzu 203.0.113.10 1194 pošlje UDP datagram, curl -v telnet://203.0.113.10:443 poroča, ali se rokovanje TCP dokonča, brskalnik, ki naloži stran HTTPS, pa dokaže le, da odhodni 443 doseže tega enega gostitelja. Majhne preiskave odgovorijo na tisto, česar odjemalec VPN ne more: katera vrata in kateri protokol sploh zapustita to omrežje.

Tri vedenja omrežja so z odjemalca videti enako in zahtevajo različne odgovore. Odhodni 443 je lahko odprt, dovoljen je lahko le posrednik, ali pa se 443 prosojno posreduje v pregledno škatlo, ki ne more prebrati, kaj prenaša. Prvo se odpravi s spremembo profila spodaj, drugo z nastavitvami posrednika, tretje pa lahko dokonča rokovanje in se nato ustavi, ko se pregledovalcu tok ne zdi po volji. Zavedanje, s katerim od treh se srečujete, je razlika med desetminutno spremembo in popoldnevom ponovnega nameščanja odjemalcev.

Premaknite poslušalec in profil skupaj

Na strani strežnika nastavite poslušalec na tisto, kar omrežje dovoljuje: port 443 in proto tcp v konfiguraciji strežnika, nato znova zaženite storitev in potrdite vtičnico s ss -lntp. Na strani odjemalca mora profil soglašati, ker transport in vrata stojita zunaj tunela: proto tcp in port 443 v .ovpn ali ustrezna polja na zaslonu z nastavitvami aplikacije. Profil, še vedno usmerjen na UDP 1194, spodleti natanko tako kot prej, in pojavi se skušnjava, da bi okrivili požarni zid, ki je že popravljen. Če isti gostitelj odgovarja tudi po HTTPS na 443, dva poslušalca ne moreta deliti tega naslova in protokola; dajte VPN drugi naslov ali postavite spredaj demultiplekser.

Spremljajte prvo povezavo s tcpdump -ni any port 443 na obeh koncih. Paketi, ki zapustijo odjemalca in nikoli ne prispejo, pomenijo, da omrežje vendarle filtrira, ali da naslov v profilu ni tisti, ki ga predpostavljate. Paketi, ki prispejo brez odgovora, vas vrnejo k dnevniku strežnika, kjer se neujemanje protokola takoj pokaže kot zavržen paket.

Ko iz omrežja odide le posrednik

Nekatera gostujoča omrežja ne dovolijo ničesar razen HTTP posrednika, kar je druga omejitev kot zaprta vrata in izključuje več kot OpenVPN. Odjemalci, ki govorijo samo PPTP, L2TP/IPsec ali goli IPsec, nimajo poti skozi, ker te zasnove pričakujejo, da bo njihov zunanji protokol dosegel strežnik neposredno. OpenVPN zmore, z http-proxy proxy.example.net 8080 v profilu odjemalca, če posrednik dovoljuje metodo CONNECT na vaša vrata. Posrednik SOCKS je še lažji, ker pretok posreduje brez zanimanja, kaj je znotraj.

Kjer odjemalec ne podpira posrednika, običajno ostane tunel SSH prek 443. Doda drugo plast in upravljavec omrežja ima lahko o tem mnenje, zato ga obravnavajte kot most za eno potovanje, ne kot arhitekturo.

Ovrednotite rezervno pot, preden jo obdržite

TCP znotraj TCP ima znano ceno. Ko je zunanja povezava TCP in je tovor tudi TCP, izgubljen segment sproži ponovno pošiljanje na obeh plasteh, notranja povezava pa se umakne pred izgubo, ki je ne more videti. Brskanje to prenese; interaktivne seje in klici to občutijo. Pustite poslušalec TCP 443 kot rezervno pot za omrežja, ki ga zahtevajo, UDP pa kot privzeto za vse, kar ga še spusti skozi.

Zapišite izbiro v ime profila in v opombe za podporo: katera vrata, kateri protokol in katero omrežje so jo sprožili. Nato vprašajte skrbnika omrežja, ali bodo ta vrata odprta tudi po naslednji zamenjavi opreme, ker je rezervna pot, ki tiho izgine, slabša od nikakršne rezervne poti.