Какого порта не хватает OpenVPN для соединения?
=================================================

 Windows 2012 R2, на нём поднят OpenVPN Server: TCP, port 48889.   

Винда прикрыта от мира внешним Firewall, на котором открыты нужные порты для конкретных IP.  

  

Если правило "любые порты для моего IP" то VPN клиент отлично коннектится.   

Если правило "только 48889 TCP для моего IP", то клиент перестаёт коннектится (причём, если правило изменить после коннекта, то соединение не рвётся). Из этого делаю вывод, что OpenVPN хочет какой-то ещё порт для установки соединения, кроме основного порта, указанного в конфиге. На соседнем сервере с Debian OpenVPN прекрасно коннектится и работает по единственному открытому порту (правда, там UDP)  

  

Есть идеи, чего ему ещё нужно? Ужасно не хочется ставить ещё монитор и смотреть, на какие порты ломится исходящее соединение с роутера.   

  

Спасибо заранее. 

 Присоединяюсь ко всем отвечающим - Openvpn использует только один порт.  

Возможно не хватает правила для исходящих пакетов с этого порта, но не факт, конечно.  

Включите логирование в openvpn сервере и по логам отследите попадают ли вообще клиентские пакеты в openvpn сервер. Если клиентские пакеты попадают, значит блокируются ответы.  

Фаерволы сейчас есть практически на каждом утюге, в т.ч. и на домашних ПК с виндой и т.п., так что блокироваться пакеты могут на разных стадиях прохождения маршрута, это надо иметь ввиду.  

Вообще в openvpn лучше использовать UDP. На TCP есть проблемы при плохом качестве связи, а это вполне может быть если расстояние между клиентом и сервером большое или по другим причинам. 

 Решение проблемы: порт действительно один. В панели hetzner firewall при проброске портов были указаны оба поля 48889 -> 48889. Достаточно оказалось убрать первый параметр, оставив второй, и всё заработало. Скан портов показал, что после изменения по-прежнему только нужный порт открыт. Вроде всё ок. 

 Как правило OVPN использует 1194 для коннекта, 

 OpenVPN использует только один порт.  

По умолчанию 1194/udp.  

Возьмите wireshark и посмотрите на сервере, на какие порты ломится клиент.   

В фильтре wireshark укажите `ip.addr == 10.0.0.1`, где 10.0.0.1 адрес клиента openvpn. 

 OpenVPN использует один порт - или TCP или UDP, указанный в конфигурационном файле сервера.  

Если у вас работает клиентское подключение openvpn на этот порт-а потом перестает работать - значит скорее всего ваше новое правило не пропускает пакеты на этот порт.