Что происходит с OpenVPN?

Question

[My_Second_Nickname]

Сегодня внезапно у четырех человек появились проблемы с OpenVPN. Конфиги у всех одинаковые, но проблемы только у них. Так выглядит трассировка с проблемной машины:

Трассировка маршрута к S1 [192.168.1.105]
с максимальным числом прыжков 30:

  1    11 ms    11 ms    11 ms  GTW [10.7.0.1]
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *        *        *     Превышен интервал ожидания для запроса.
  4     *        *        *     Превышен интервал ожидания для запроса.
  5     *       11 ms    11 ms  S1 [192.168.1.105]

А так с рабочей:

Трассировка маршрута к S1 [192.168.1.105]
с максимальным числом прыжков 30:

  1    18 ms    19 ms    19 ms  GTW [10.7.0.1]
  2    19 ms    19 ms    19 ms  S1 [192.168.1.105]

В логах OpenVPN на проблемных клиентах вот такое регулярно:

2023-06-29 10:44:28 [server] Inactivity timeout (--ping-restart), restarting

На серверной стороне в логах инфы почти нет, только сам факт того что клиент переподключился:

Thu Jun 29 11:28:01 2023 MULTI: new connection by client '1' will cause previous active sessions by this client to be dropped.

Есть подозрение, что проблемы у провайдера, потому что у всех один и тот же. Но как ему это преподнести? Потому что пинг до сервера (до наружного адреса) ходит без проблем.

Answer 1

[Drno]

Опенвпн начали блокировать еще месяц назад.
Переходите на sstp

Comments

[My_Second_Nickname]

У SSTP насколько я знаю проблемы с сервером на линукс. Пока ищу чем ещё можно заменить

[Drno]

My_Second_Nickname, ocserv на гитхабе
на клиентах - cisco any connect

[WSGlebKavash]

Drno, В КГПК замечена блокировка IPsec XAuth RSA. При использовании мобильного интернета от Теле2, всё работает, тоннель поднимается, трафик идёт. Блокирует ли IPsec сам колледж или провайдер, остаётся загадкой.

[Drno]

WSGlebKavash, ну вот мы приходим постепенно к sstp и китайскому vless

Answer 2

[Ngolovin]

Замечено в КРД и в Татарстане.

В татарстане сотрудник позвонил провайдеру (таттелеком), получил ответ, что блочат по указанию Роскомнадзор.

Comments

[My_Second_Nickname]

Слов нет, один мат.

[Дмитрий]

аналогичное видел когда тестил впны из Узбекистана - это 99,9% блокировка. Туннель вроде есть, а трафик не ходит.

[paran0id]

Дмитрий, в УЗ токмо ssl.

[Ngolovin]

My_Second_Nickname, Сейчас с обращающимися сотрудниками починили следующим образом:

На их ПК, в настройках интерфейса, отключили ipv6, коннект пошел

[CityCat4]

А на VPN обе стороны в одной стране или одна сторона - в одной стране, а вторая - в другой?

[My_Second_Nickname]

Ngolovin, не, не помогло

[Дмитрий]

paran0id, так точно, но клиент требовал проверить разные - сидели и проверяли. В итоге решение найдено, внедрено, клиент доволен.

[Ngolovin]

My_Second_Nickname, Части тех, кому не помогло - обновили винду до актуала и помогло.

[WSGlebKavash]

Дмитрий, Не знаю как в Узбекистане, но в Туркменистане остаётся только TeamViewer или RDP до ПК с интернетом.
В Иране интернет есть только в Дата-цетрах (ЦОД), так что надо арендовать сервер в Иранском ЦОД и кидать VPN к нему и оттуда VPN в безопасную страну.

[Drno]

WSGlebKavash, ну в туркменистане ВПНы пока работают, более-менее. но их конечно блокируют достаточно часто.
в основном потому что местные юзают голый опенВПН, либо сажают овердофига людей на 1 сервак, и тут банально по количеству трафика видно что это впн )

Answer 3

[maksam07]

По теме:
https://habr.com/ru/news/738790/comments/#comment_...

Answer 4

[Sergey В.]

Государство считает что Вам это не нужно.

Answer 5

[WSGlebKavash]

Попробуйте подключиться через Tor или рабочий VPN (HideMyName, ShurfShark, TunnelBear). Если ваш OpenVPN поднимется, то значит провайдер блокирует OpenVPN-трафик. В этом случае надо зарегистрировать ваш VPN-сервер в Роскомнадзоре с формулировкой: "VPN-соединение используется исключительно в корпоративных целях для связи удалённых офисов в единую сеть с помощью OpenVPN-туннеля. Провайдер обязуется соблюдать закон "О связи" и "Закон о защите персональных данных". В случае обнаружения нарушений обращаться к ответственному лицу."

Comments

[Joyz]

WSGlebKavash так если и начали блокировать, то протокол а не сервер.