Gumagana ang OpenVPN sa bahay pero hindi sa isang network: UDP o TCP?

Ang parehong profile ay kumokonekta mula sa bahay at tumitigil sa isang hotel, campus o sangay na network. Hindi nagbago ang mga kredensyal, kaya ang kawili-wiling variable ay ang landas: OpenVPN ano ang nangyayari sa mga packet bago basahin ang mga ito. Ang paghahambing ng apat na posibleng dahilan sa pagkakasunod-sunod na masusubok ay mas mabuti kaysa hulaan ang tungkol sa mga sertipiko. Bawat isa ay nag-iiwan ng kakaibang bakas, at ang bakas ang naghihiwalay sa kanila.

Alin ang yugtong nabigo ang nagsasabi kung aling paghahambing ang mahalaga

Naitala na ng log ng client kung gaano kalayo ang narating mo. Ang linyang nagsasabi na ang negosasyon ng susi ng TLS ay hindi nangyari sa loob ng timeout ay nangangahulugang may unang packet na lumabas at walang kapaki-pakinabang na bumalik, na tumuturo sa landas. Ang pagtanggi ng sertipiko ay mukhang lubos na iba: may dumarating na tugon, pagkatapos ay pinangalanan ng partikular na error sa pag-verify ang dahilan. Itala ang huling linya bago ang loop ng pag-retry, dahil iyon ang halagang inihahambing mo sa pagitan ng mga network.

Kunin habang nag-retry, hindi pagkatapos. Sa client, ipinapakita ng tcpdump -ni any udp port 1194 kung may bumabalik na tugon. Ulitin ito sa WAN interface ng server na kontrolado mo, na nagbubunyag kung ang mga packet na iyon ay umaabot sa malayong dulo.

Ang isang-direksyong trapiko ay ang pinakakapaki-pakinabang na resulta na magagamit dito, dahil ginagawa nitong direksyon ng pagsisiyasat ang paminsan-minsang reklamo. I-save ang mga capture file, dahil ang susunod na ulat ng parehong problema ay mas madaling isara sa ebidensya kaysa sa paglalarawan.

Pag-filter ng UDP kumpara sa saradong port

Itinuturing ng maraming access network ang tuloy-tuloy na UDP na kahina-hinala, at sang-ayon ang ilang ISP. Ang saradong port ay gumagawa ng parehong katahimikan mula sa panig ng client. Ang pagkakaiba ay pagpili: ang filter ay kadalasang mapili sa kung aling mga destinasyon o port ang itinatapon nito, habang ang saradong port ay tumatanggi sa lahat ng nakaturo sa port na iyon.

Ang TCP profile sa port 443 ay ang karaniwang solusyon, dahil kamukha ito ng ordinaryong HTTPS flow at dumadaan sa karamihan ng captive portal at egress filter. Dalawang kundisyon ang dapat mapanatili. Dapat makinig ang server gamit ang proto tcp-server at dapat tumugma ang client sa proto tcp-client, at dapat ilathala ng operator ang alternatibong endpoint na iyon. Ang muling pagsulat ng gumaganang UDP profile upang sabihing TCP 443 ay walang patutunguhan kapag walang nakikinig sa kabilang dulo.

Ang saradong port ay problema sa configuration, hindi problema sa censorship. Ang server sa likod ng router sa bahay ay nangangailangan ng port forwarding ng UDP, at dapat itong pahintulutan ng firewall ng router. Kapag hindi kailanman pinahintulutan ang port, bawat client ay nabigo sa negosasyon anuman ang mga kredensyal, at sinusundan ng pagkabigo ang server sa halip na ang network.

Mahina ang paghahambing ng mas lumang protocol sa aksis na ito. Kailangan ng PPTP ang TCP 1723 at GRE, at ang GRE ay IP protocol 47 hindi port, kaya walang ordinaryong port forwarding ang makapagsasabi nito.

Kapag ang switch ang nagtatapon ng mga packet

Maaaring sadyang itapon ng managed switch ang tunnel. Ang ilang modelong HPE at Aruba ay may kontrol sa proteksyon sa baha ng UDP, kung minsan ay may label na Prevent UDP Blat Attack, sa kanilang advanced security section. Kapag aktibo ang kontrol na iyon, walang sinasagot ang server sa likod ng switch at bawat client ay nag-timeout sa parehong paraan. Ang pag-alis nito at pag-save ng running configuration ay ang buong pag-aayos, ngunit pagkatapos mo lamang matiyak na ang switch ay talagang nasa landas.

Ang kontra-ebidensya ang naghihiwalay sa pagtatapon ng switch mula sa pagharang ng provider. Basahin ang mga counter ng interface at ang log ng proteksyon sa baha bago magbukas ng ticket sa ISP. Ang mga consumer router na may proteksyon sa DoS o baha ay nabigo sa parehong hugis, at gayundin ang anumang middlebox na may maikling UDP idle timeout. Ang handshake na hindi kailanman natapos ay nagmumungkahi ng pagtatapon, habang ang tunnel na namamatay pagkatapos ng ilang minutong katahimikan ay nagmumungkahi ng timeout.

Isulat ang bawat device sa pagitan ng client at server bago baguhin ang isang profile. Ang pagwawasto na inilapat sa maling layer ay mukhang tama hanggang sa susunod na network. Sinasabi rin ng listahang iyon sa susunod na inhinyero kung saan titingin nang hindi inuulit ang buong pagsisiyasat.

Isang overlap ng address na mukhang pagkabigo ng DNS

Ang isang access network na may numero sa loob ng 10.0.0.0/8 ay maaaring mag-overlap sa pool ng tunnel, at ang resolver ay karaniwang nakatira sa pool na iyon. Kapag ang isang laptop ay nakatanggap ng address tulad ng 10.184.178.50 na may /8 mask sa Wi-Fi, ang bawat destinasyong 10.x ay lokal sa pamamagitan ng kahulugan. Ang mga packet para sa 10.4.0.1 ay pupunta sa LAN, mananatiling buhay ang tunnel, at nabigo ang pagresolba ng pangalan.

ip addr ay nagpapakita ng overlap sa isang sulyap, at ang ip route get 10.4.0.1 ay nagpapakita kung saan talaga ihahatid ang packet. Dahil ang nakikitang sintomas ay pagkabigo ng resolver, madalas itong nakakaligtas sa ilang round ng pagbabago ng DNS.

Muling bilangin ang pool o panatilihin ang access network na iyon sa labas ng saklaw. Walang setting sa panig ng client ang nakakabawi mula sa overlap.

Pagpili sa pagitan ng TCP backup at pag-aayos ng landas

Piliin ang TCP backup kapag hindi mo kontrolado ang landas at kailangang magtrabaho ngayon ang mga user, at tanggapin ang mga gastos nito: ang TCP sa loob ng TCP ay hindi maganda ang pag-uugali sa mga link na may pagkalugi, at ang backup ay nangangailangan ng listener na pinapatakbo mo. Piliin ang pag-aayos ng landas kapag ang pagharang ay nasa imprastrukturang pagmamay-ari mo, dahil ang firewall rule ay mas mura kaysa sa pangalawang listener. Alinman, daanan ang mga layer sa pagkakasunod-sunod: link, panlabas na transport, negosasyon, panloob na routing. Ang yugtong nabigo sa network na iyon ang tanging katotohanang mahalaga.

Itala ang resulta bawat network, hindi bawat user. Ang susunod na ulat ng parehong pagkabigo ay magsisimula sa isang kilalang yugto sa halip na sa isang teorya ng sertipiko. Ang talaang iyon din ang nagbibigay-katwiran sa isang permanenteng pangalawang listener, kung kailangan man.