Які протоколи цей публічний вузол VPN насправді пропонує?
Те, що серверне програмне забезпечення підтримує протокол, не означає, що цей вузол його ввімкнув. Перевірте кінцеву точку, профіль і етап, який справді не проходить.
Програмне забезпечення підтримує його, отже, вузол його пропонує. Цей висновок помилковий достатньо часто, щоб стати правилом: розгортання SoftEther може ввімкнути будь-яку підмножину сумісних методів підключення, а публічний вузол — це розгортання з власником і конфігурацією. З чим ви можете підключитися, залежить від цього вузла, а не від списку функцій проєкту, який він запускає. Саме в зазорі між ними й живе більшість заявок «протокол зламано».
Що насправді обіцяє список проєкту
Функції протоколів проєкту описують, на що здатен сервер. Конкретний вузол вмикає одних із цих слухачів і не вмикає інших, і оператор може змінити цей набір, не торкаючись версії програмного забезпечення. Тому два вузли однієї збірки поводяться по-різному, а профіль, що працює проти одного, нічого не доводить про наступну ціль. Власний список вузла важливіший за сторінку проєкту, коли ви обираєте, куди підключатися.
Читайте список як п’ять полів, а не як меню: кінцева точка, порт, транспорт, родина протоколів і метод автентифікації. Публічний вузол, який рекламує SSTP повідомив вам про слухача на порту; він не повідомив, який сертифікат пред’являє і чи працює там ваш обліковий запис. Порівняти ці п’ять полів зі своїм профілем швидше, ніж будь-яка кількість перевстановлень клієнта, і це дає письмове очікування, яке можна перевірити пізніше.
Узгодьте профіль із кінцевою точкою, яку він називає
Власний запис SoftEther не є автоматично конфігурацією OpenVPN, навіть коли обидва з’являються на одній сторінці провайдера під одним заголовком. Коли вузол публікує і TCP-, і UDP-слухач для OpenVPN, розглядайте їх як дві кінцеві точки: профіль, змінений з одного на інший, указує на слухача, якого ніхто не ввімкнув. Мітка транспорту у файлі — частина адреси, а не косметичне налаштування.
Те, що клієнт приймає імпортований файл, доводить, що файл розбирається. Це нічого не каже про те, чи чекає на іншому кінці віддалений слухач, тому перша спроба підключення і є справжньою перевіркою. Порівняйте рядок remote у профілі з оголошеними хостом і портом вузла, перш ніж звинувачувати протокол.
Перевірте етап, який не проходить
Хост, що відповідає на веб-трафік, усе ще може не мати потрібної служби VPN, а хост, що відхиляє один протокол, не обов’язково вимкнений для всіх. Ці дві помилки відправляють людей у протилежні боки того самого дня. Один ганяється за міжмережевим екраном, який у порядку; інший перевстановлює клієнт, який ніколи не був проблемою. Перевіряйте кожен шлях окремо, щоб відповідь описувала одного слухача, а не весь хост.
Ці п’ять перевірок охоплюють звичайні методи публічних вузлів. Виконуйте їх із тієї самої мережі, яку використовує клієнт, бо відфільтрований порт здалеку виглядає точно так само, як відсутній слухач.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Результат | Етап | Що це виключає |
|---|---|---|
| З’єднання відхилено або минув час | Транспорт | Слухач відсутній, відфільтрований або неправильний порт |
| Помилка рукостискання TLS або ідентичності | Сертифікат | Доступність протоколу; слухач відповів |
| AUTH_FAILED або відмова облікового запису | Автентифікація | Кінцева точка; проблема в облікових даних |
| UDP 500 і 4500 мовчать | Переговори IPsec | ESP і L2TP блокуються до автентифікації |
Пов’яжіть кожну помічену помилку з її рядком, перш ніж щось змінювати. Помилка ідентичності TLS доводить, що слухач існує, тож переписування профілю на інший протокол відкинуло б робочий доказ. Відхилене з’єднання доводить лише те, що цей порт не відповів, а це значно вужче твердження, ніж «вузол не підтримує OpenVPN».
Збережіть помилку, перш ніж щось змінювати
Запишіть точний результат: вичерпання часу, помилка ідентичності сертифіката, відмова облікового запису й відмова на рівні застосунку — чотири різні наслідки. Лише перший стосується недоступного протоколу, і лише останній стосується дозволу після успішного з’єднання. Скидання клієнта або зміна протоколів руйнує цю різницю, бо наступна помилка приходить з іншою історією і без базової лінії для порівняння.
Не послаблюйте перевірку, щоб несумісний профіль виглядав робочим. Вимкнена перевірка сертифіката перетворює чітку помилку ідентичності на з’єднання з чимось, куди ви не збиралися потрапити, і отриманий успіх гірший за початкову помилку, бо приховує, який етап був хибним.
Перевіряйте повторно для кожного вузла, щоразу
Власні варіанти SSL, OpenVPN, L2TP/IPsec і SSTP у списку публічного вузла описують конфігурацію цього вузла на той момент. Те саме програмне забезпечення в іншому місці може пропонувати інший набір, а провайдер може прибрати слухача між вашою закладкою і наступною спробою. Старі нотатки описують старі розгортання.
Запишіть перевірений профіль із його кінцевою точкою та методом, потім повторіть перевірку, коли вузол зміниться або з’єднання почне збоїти. Специфікація протоколу SoftEther — це довідник про те, на що здатне програмне забезпечення; власний список вузла — довідник про те, що він робить. Тримайте два документи окремо, і діагностика стане коротшою.