Клиент OpenVPN не может подключиться к серверу со следующими симптомами:

• В логах клиента циклически повторяется ошибка: TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity) и TLS Error: TLS handshake failed.
• Сервер не фиксирует входящих пакетов от клиента или отбрасывает их на этапе первого обмена.
• Соединение зависает на статусе MANAGEMENT: >STATE:...,WAIT,....

1. Архитектура TLS Handshake в OpenVPN

OpenVPN использует защищенный протокол TLS поверх TCP или UDP для взаимной аутентификации узлов и обмена сессионными ключами шифрования данных. Ошибка TLS handshake failed означает, что управляющие пакеты инициализации TLS не дошли до сервера, были заблокированы файрволом, отброшены из-за несовпадения ключа tls-auth / tls-crypt или уничтожены системами глубокой фильтрации трафика (DPI провайдера).

2. Проверка доступности порта на сервере

# Проверка прослушивания порта демоном OpenVPN
ss -tunlp | grep -E ':1194'

# Захват пакетов на интерфейсе сервера
tcpdump -nn -i eth0 udp port 1194

3. Проверка ключей защиты tls-auth / tls-crypt

Если на сервере включена директива tls-auth или tls-crypt, любые входящие пакеты без корректной цифровой подписи отбрасываются сервером молча (Silent Drop) для защиты от DoS и сканирования портов.

• Убедитесь, что файл ключа (ta.key или блок <tls-crypt>) абсолютно идентичен на сервере и клиенте.
• При использовании tls-auth проверьте параметр направления ключа (key-direction):

# На сервере:
tls-auth ta.key 0

# На клиенте:
tls-auth ta.key 1

4. Настройка файрвола (iptables / ufw)

# Разрешение входящего UDP трафика 1194
iptables -I INPUT -p udp --dport 1194 -j ACCEPT

# Для UFW
ufw allow 1194/udp

5. Обход блокировок DPI и нестабильного MTU

Если провайдер блокирует сигнатуры OpenVPN или фрагментирует пакеты рукопожатия, добавьте в конфигурацию клиента и сервера:

# Переход на протокол TCP (если UDP блокируется)
proto tcp-client
port 443

# Снижение MTU для устранения фрагментации TLS пакетов
mssfix 1360
tun-mtu 1500