OpenVPN се не повезује на хотелском Wi-Fi? Пробајте TCP 443

Отворите клијент, притисните Повежи и читајте статусни ред уместо дијалога који следи. Профил који после хотелске, кампусне или мобилне мреже застане на Повезивање или Чекање сервера обично је негде на путу изгубио свој преносни слој, а не своје акредитиве. Следећи користан корак је да сазнате шта та мрежа преноси пре него што додирнете сервер. Не мењајте ништа док исти профил не проради негде другде.

Прво тестирајте са приступне тачке на телефону. Ако тунел тамо устане, сервер, сертификат и налог су у реду, а једина преостала променљива је мрежа пред вама.

Почните на клијенту: прочитајте статусни ред

Статусни ред каже која је фаза отказала. Клијент заглављен на Повезивање још разрешава име хоста или отвара спољни сокет; онај који стигне до Чекање сервера има пут, али нема одговор; онај који се аутентификује и затим падне има сасвим други проблем. Дневник клијента и сопствена поља remote и proto профила показују шта клијент покушава, а --verb 4 на клијенту из командне линије исписује исти детаљ. Управо поређење тога са мрежом пред вама претвара 'VPN је блокиран' у конкретну тврдњу.

Затим испитајте мрежу алатима које већ имате. nc -vzu 203.0.113.10 1194 шаље UDP датаграм, curl -v telnet://203.0.113.10:443 извештава да ли се TCP руковање завршава, а прегледач који учита HTTPS страницу доказује само да излазни 443 стиже до тог једног хоста. Мала испитивања одговарају на оно што VPN клијент не може: који порт и који протокол уопште излазе из ове мреже.

Три понашања мреже изгледају исто са клијента и траже различите одговоре. Излазни 443 може бити отворен, може бити дозвољен само прокси, или 443 може бити прозирно преусмерен у инспекцијску кутију која не може да прочита шта преноси. Прво се решава изменом профила испод, друго подешавањима проксија, а треће може да заврши руковање и затим се заглави када инспектор одлучи да му се ток не свиђа. Знање са којим од три се суочавате разлика је између измене од десет минута и поподнева преинсталирања клијената.

Преместите слушач и профил заједно

На страни сервера поставите слушач на оно што мрежа дозвољава: port 443 и proto tcp у конфигурацији сервера, затим поново покрените услугу и потврдите сокет са ss -lntp. На страни клијента профил мора да се сложи, јер преносни слој и порт стоје изван тунела: proto tcp и port 443 у .ovpn, или одговарајућа поља на екрану подешавања апликације. Профил који још циља UDP 1194 не успева исто као пре, а искушење је окривити заштитни зид који је већ поправљен. Ако исти хост одговара и на HTTPS на 443, два слушача не могу да деле ту адресу и протокол; дајте VPN-у другу адресу или поставите испред демултиплексер.

Пратите прву везу са tcpdump -ni any port 443 на оба краја. Пакети који напусте клијента и никада не стигну значе да мрежа ипак филтрира, или да адреса у профилу није она коју претпостављате. Пакети који стигну без одговора враћају вас на дневник сервера, где се неслагање протокола одмах покаже као одбачен пакет.

Када само прокси излази из мреже

Неке гостујуће мреже не дозвољавају ништа осим HTTP проксија, што је другачије ограничење од затвореног порта и искључује више од OpenVPN-а. Клијенти који говоре само PPTP, L2TP/IPsec или голи IPsec немају где кроз њега, јер ти дизајни очекују да њихов спољни протокол стигне директно до сервера. OpenVPN може, са http-proxy proxy.example.net 8080 у профилу клијента, под условом да прокси дозвољава метод CONNECT ка вашем порту. SOCKS прокси је још лакши, јер прослеђује ток не марећи шта је унутра.

Тамо где клијент нема подршку за прокси, обично остаје SSH тунел преко 443. Он додаје други слој, а управник мреже може имати мишљење о томе, па га третирајте као мост за једно путовање, а не као архитектуру.

Процените цену резервног пута пре него што га задржите

TCP унутар TCP-а има познату цену. Када је спољна веза TCP, а терет је такође TCP, изгубљени сегмент покреће поновно слање на оба слоја, а унутрашња веза узмаче пред губитком који не може да види. Прегледање то преживи; интерактивне сесије и позиви то осећају. Задржите слушач TCP 443 као резерву за мреже које га траже, а UDP оставите као подразумевано за све што га још пропушта.

Запишите избор у назив профила и у напомене за подршку: који порт, који протокол и која мрежа га је изазвала. Затим питајте администратора мреже да ли тај порт остаје отворен после следеће замене опреме, јер резерва која тихо нестане гора је од никакве резерве.