proto udp ali tcp-client: katero sliši vaš strežnik?

Profil, ki je deloval prejšnji mesec, zdaj poteče, in nekdo predlaga zamenjavo proto udp s proto tcp-client. Včasih je to prava poteza, včasih nastane odjemalec, ki se poveže na vrata, kjer nič ne posluša, ker strežnik nikoli ni bil nastavljen za drugi transport. Direktiva opisuje, kako govori vaša stran; ne more ustvariti poslušalca na drugi strani. Preden spremenite katero koli od obeh, preberite profil in strežnik skupaj.

Preberite transport, ki ga uporablja izbrana povezava

Profil lahko vsebuje več vnosov remote, in vsak lahko navede svoj transport. Odjemalec jih obdela po vrsti, zato vrstica, ki jo vidite prvo, ni nujno tista, ki velja.

Poiščite vnos, ki se dejansko poskuša, in nato preberite njegov transport. Vrstni red je pomemben, ker odjemalec ne preide tiho naprej. Nekatere gradnje poskusijo naslednji vnos šele po časovni prekinitvi, zato je delujoča alternativa na dnu datoteke dosežena nekaj sekund pozneje, kot pričakujete. V dnevniku spremljajte, katera končna točka se poskuša, namesto da bi domnevali, da je zmagala prva vrstica.

Če ima datoteka eno vrstico proto blizu vrha in več vnosov remote pod njo, je ta vrstica privzeta vrednost za vsak remote, ki je ne preglasi. Lokalna sprememba privzete vrednosti ne naredi ničesar za vnos remote, ki navaja svoj transport.

grep -nE '^(remote|proto)\b' client.ovpn

UDP in TCP nista nastavitev hitrosti

UDP pošilja datagrame brez gradnje urejenega toka, zato se promet samega tunela ne ovije v drug zanesljiv transport. TCP vam daje pot skozi omrežja, ki zavržejo ali blokirajo UDP, za ceno gnezdenega ponovnega prenosa, ki lahko naredi povezavo z izgubami slabšo.

To je menjava dosegljivosti, ne univerzalna lestvica. Prava izbira je tista, ki jo omrežje pred odjemalcem dovoli. Pot, ki zavrže UDP na vratih VPN, se ne bo nikoli pogajala, ne glede na to, kako dobro je napisan profil. Preizkusite pot in nato izberite transport.

Izbirati med njima samo na podlagi meritve je napaka, ker je odgovor odvisen od tega, kaj omrežje pred vami dovoli. Hotel ali poslovni proxy lahko dovoli odhodni TCP na 443 in nič drugega, zato ponudniki ponujajo to različico. Ostaja povezava OpenVPN na teh vratih, ne seja HTTPS, tudi če je številka vrat znana.

Kaj tcp-client v resnici pomeni

Direktiva na strani odjemalca poimenuje konec, ki začne povezavo TCP. Stran strežnika uporablja svojo obliko poslušanja, in kopiranje odjemalčeve besede v konfiguracijo strežnika ustvari poslušalca, ki pričakuje klic, ne pa tistega, ki sprejema.

Ujemanje pomeni, da se oba konca strinjata o transportu, ne da si delita isto niz.

grep -nE '^proto\b' /etc/openvpn/server/server.conf
ss -lntp | grep openvpn

Vprašajte strežnik, na čem posluša, preden domnevate, da je profil napačen. Poslušalec UDP se ne pojavi na seznamu vtičnic TCP in obratno prav tako velja, zato poglejte pogled, specifičen za protokol, in ne splošnega.

Ko se profil uvozi, a se nikoli ne poveže

Uvožen profil, ki takoj poteče, običajno ne uspe pred kakršno koli overitvijo. Paket gre na vrata brez poslušalca, ali pa ga omrežje tiho zavrže.

Preizkusite pot na najpreprostejši način: povežite se z istim gostiteljem in vrati s transportom, ki ga profil trdi, iz istega omrežja kot odjemalec, ki ne uspe.

Če preizkus UDP ne dobi ničesar in preizkus TCP se poveže, strežnik ponuja drugi transport in profil je preprosto zastarel. Če se ne odzove noben, je težava višje od izbire transporta in nobeno urejanje profila je ne bo odpravilo. Razlikovanje teh dveh primerov traja minuto in prihrani uro razhroščevanja potrdil, ki nikoli ni bilo pomembno.

Zapišite delujoči transport

Ko kombinacija deluje, jo zapišite s strežnikom, vrati in protokolom ter zabeležite, iz katerega omrežja je bila preizkušena.

V nasprotnem primeru bo naslednja oseba, ki naleti na časovno prekinitev, ponovila isti poskus v nasprotno smer in morda spremenila strežnik, ki je bil v redu.

Če ponudnik objavi obe različici, shranite obe datoteki in ju označite glede na omrežje, ki jima ustreza. Dva jasno poimenovana profila preprečujeta naključno mešanje odjemalčevega transporta s strežniškim poslušalcem, ki zanj ni bil nikoli nastavljen.