VPN conecta a partir de casa, mas não do trabalho ou dados móveis

Question

Eu tenho o OpenVPN configurado em um servidor Ubuntu 16.04. Eu posso usar este serviço de VPN de uma rede, mas não de outros, e gostaria de receber ajuda.

Rede doméstica
Tudo funciona bem. Consigo me conectar à VPN e navegar em páginas da Web a partir de diferentes dispositivos (macbook e Android phone).

Rede de trabalho
Cliente VPN se conecta, mas não consigo navegar em páginas da Web em nenhum dispositivo.
Pinging hostname funciona por isso pode não ser um problema de DNS. As páginas do navegador ficam presas na conexão até o tempo limite.
O cliente do Slack não se conecta, no entanto, o cliente do Dropbox relata que está sendo conectado.

Dados móveis
Igual à rede de trabalho.

Configuração do servidor

port 443
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
keepalive 10 120
cipher AES-256-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem

Configuração do cliente

client
dev tun
proto udp
sndbuf 0
rcvbuf 0
remote x.x.x.x 443  #My Server's IPAddress
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-CBC
comp-lzo
setenv opt block-outside-dns
key-direction 1
verb 3

Embora essa configuração use a porta 443, tive o mesmo problema ao usar a porta padrão 1194.
Também experimentei alterar a configuração push do DNS e usar os servidores DNS do Google, mas isso não faz diferença.

Esperando que alguém possa ajudar.

    

Answer 1

Eu sugiro tentar a porta 443 com o protocolo TCP. Como essa é a porta HTTPS, a maioria dos firewalls não investiga os pacotes pelo TCP 443, pois espera-se que eles sejam criptografados. Isso faz com que os pacotes de dados VPN tenham mais chances de sobreviver através do firewall:

proto udp
port 1194

Minha segunda sugestão é ter um proxy HTTP, como o Squid, rodando no mesmo servidor com o OpenVPN e configurá-lo para escutar na porta 443. Certifique-se de proteger esse servidor. Com o proxy, você pode fazer seu servidor OpenVPN escutar no IP local e na porta padrão, já que somente o serviço de proxy em execução no host local se conectará a ele. Não há necessidade de alterar a configuração do servidor padrão:

# SERVER
proto udp
port 1194

# You can easily change the client. On the client, you can configure it to 
# connect to the VPN over proxy by adding changing a couple of lines :

# CLIENT
proto udp
http-proxy <SERVER IP> 443
remote <SERVER IP> 1194

Por último, se nenhum dos trabalhos acima, você pode tentar encontrar um MTU melhor .

    

Answer 2

Você pode verificar seus registros do servidor para confirmar se a conexão está realmente completa?

Além disso, o seu cliente completo conf?

Se sim, não tenho certeza de como isso está funcionando, considerando que o servidor tem tls-auth ta.key 0 - você precisaria disso configurado em ambas as extremidades (com o cliente final usando um 1 em vez de 0) para poder realmente conectar.

Gostaria de começar validando suas premissas e, como outras sugeriram, comece a ficar obcecado com as tabelas de roteamento e os firewalls no trabalho.