[Keenetic] OpenVPN нестабильное подключение начиная с версии 3.4.0

[Gorodskih]

Добрый день. Всё хорошо работает с antizapret контейнером версии 3.3.0. Работает по UDP сутками без разрывов.
Но если обновиться до 3.4.0 и выше, то при подключении большое количество раз в лог выбрасывается ошибка:
(Здесь и дальше заменил IP сервера на "{IP сервера}".)

TLS Error: unknown opcode received from [AF_INET]{IP сервера}:1194 op=2 

При этом число в конце после "op=" постоянно меняется.
Иногда после этой ошибки выходят и другие вроде следующих (вставлены по одной строчке, они не идут друг за другом в логе). Они не всегда одинаковые, в отличие от первой, после которой похоже всё ломается.

Peer tried unsupported key-method 1 
TLS Error: Unroutable control packet received from [AF_INET]{IP сервера}:1194 (si=3 op=P_CONTROL_WKC_V1) 
TLS Error: Unroutable control packet received from [AF_INET]{IP сервера}:1194 (si=3 op=P_CONTROL_V1) 
TLS Error: reading acknowledgement record from packet 
TLS ERROR: local/remote key IDs out of sync (0/3) ID: [key#0 state=S_INITIAL auth=KS_AUTH_FALSE id=0 sid=00000000 00000000] [key#1 state=S_UNDEF auth=KS_AUTH_FALSE id=0 sid=00000000 00000000] [key#2 state=S_UNDEF auth=KS_AUTH_FALSE id=0 sid=00000000 00000000] 

Самое интересное в том, что иногда спустя случайное количество минут таких мучений роутеру всё-таки удаётся подключиться. Тем не менее, спустя несколько часов это всё может повториться вновь. Разрыв, снова несколько минут (или дольше) падает ошибка, снова подключается. При откате на 3.3.0 ошибки сразу пропадают, а подключение стабильно сутками.
Пробовал перегенерировать ключи, не помогает.
С TCP всё то же самое. (Во всяком случае на 3.4.0. Сейчас тестирую на 3.6.0 и TCP подключился сразу, но может мне пока просто везёт.)

docker-compose.override.yml:

services:
  antizapret-vpn:
    extends:
      file: docker-compose.adguard.yml
      service: antizapret-vpn
    environment:
      - OPENVPN_HOST={домен сервера}
      - OPENVPN_PORT=1194
      - OPENVPN_CBC_CIPHERS=0
      - OPENVPN_OPTIMIZATIONS=0
      - OPENVPN_TLS_CRYPT=0
      - OPENVPN_SCRAMBLE=0
      - DNS_RU=77.88.8.8
    dns:
      - 1.1.1.1
  adguardhome:
    extends:
      file: docker-compose.adguard.yml
      service: adguardhome
    ports:
      - 3001:3001/tcp
    volumes:
      - /etc/letsencrypt:/etc/letsencrypt:ro
  amnezia-wg-easy:
    extends:
      file: docker-compose.wireguard-amnezia.yml
      service: amnezia-wg-easy

В самом Keenetic перед конфигом по инструкции вставлено следующее:

pull-filter ignore block-outside-dns
route 1.1.1.1
route 77.88.8.8
route 62.76.76.62
route 9.9.9.10

Второй интересный момент заключается в том, что на Keenetic Air (KN-1613) перед тем как подключиться ошибки могут вываливаться по несколько минут или даже десятки минут. Сейчас попробовал подключиться на Keenetic Ultra (KN-1811). Так вот на нём тоже были эти ошибки, но они прошли так быстро, что их можно было и не заметить, если не заглянуть в лог:

[I] Sep 27 03:15:20 OpenVPN0: NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay 
[E] Sep 27 03:15:20 OpenVPN0: TLS Error: unknown opcode received from [AF_INET]{IP сервера}:1194 op=13 
[E] Sep 27 03:15:20 OpenVPN0: Core::Syslog: last message repeated 99 times.
[E] Sep 27 03:15:20 OpenVPN0: TLS Error: Unroutable control packet received from [AF_INET]{IP сервера}:1194 (si=3 op=P_ACK_V1) 
[E] Sep 27 03:15:20 OpenVPN0: Core::Syslog: last message repeated 12 times.
[C] Sep 27 03:15:21 ndm: IpSec::Vici::Stats: out of memory [0xcffe02a7]. 
[I] Sep 27 03:15:21 OpenVPN0: [antizapret-server] Peer Connection Initiated with [AF_INET]{IP сервера}:1194 

[xtrime-ru]

Версия 3.4 включает в себя патч для обфускации openvpn. Следовательно keenetic c ним не очень дружит. https://github.com/xtrime-ru/antizapret-vpn-docker/pull/64/files

У меня лично никаких проблем нет ни на роутере Asus ни в офф клиентах openvpn. Но я использую опции

      - OPENVPN_OPTIMIZATIONS=1
      - OPENVPN_TLS_CRYPT=1

Спрошу у автора патча, как быть.

[Gorodskih]

Тоже так и подумал про патч, потому что провайдер, к которому подключён роутер Ultra на 3.3.0 сбрасывает соединение через 10 секунд, а на 3.4.0 такого не наблюдается.
Ждал, когда кто-нибудь поднимет эту тему, но что-то ни здесь, ни на NTC ничего подобного не нашел.

Спрошу у автора патча, как быть.

Спасибо! Но если это окажется чем-то слишком сложным, то проще будет дождаться официального релиза прошивки Keenetic 4.2.0 и полностью перейти на амнезию WG.

[xtrime-ru]

Если есть возможность переходить на амнезию, то так и надо делать, так как фикс для openvpn будет заключаться в отключении патча. Т.е. коннект будет работать, но его сразу заблочит ТСПУ/dpi :/

[xtrime-ru]

Автор патча предложил более легкий алгоритм обфускации, но не факт что он будет обходить блокировки. Мб в выходные смогу сделать переключение между ними через ENV переменную.

[Gorodskih]

Проблема лично для меня не критична, потом перейду на амнезию и обновлюсь.
Можно сделать так:
a) Если это не особо трудоемко, то можно попробовать с флагом.
b) Но если посчитаете, что оно того не стоит, то можно записать это как known issue, чтобы другие сразу знали, что может быть такая проблема с Keenetic.