DD-WRT OpenVPN 2.5-luisteraar dood? Lees die konfigurasie wat dit gegenereer het

’n Dooie luisteraar op DD-WRT beteken gewoonlik dat die daemon uitgegaan het terwyl dit sy konfigurasie verwerk het, nie dat ’n firewall-reël die poort geblokkeer het nie. OpenVPN 2.5 het verskeie verstekwaardes verskerp waarop ouer konfigurasies staatgemaak het, en ’n gegenereerde konfigurasie wat op ’n ouer bou gewerk het, kan verwerp word voordat die socket ooit oopgemaak word. Die router se eie log bevat die rede, en die gegenereerde lêer bevat die invoer. Om albei in daardie volgorde te lees, is vinniger as enige pakkie-opname.

Die daemon is nie die firewall nie

Die onderskeid maak saak omdat die twee foute van buite identies lyk: ’n kliënt stuur ’n handdruk en kry niks terug nie. Die een is ’n proses wat nie loop nie, en die ander een is ’n proses wat loop en filter.

Skei hulle met twee kontroles voordat jy enigiets verander, want ’n firewall-wysiging op ’n dooie daemon voeg net ’n tweede veranderlike by.

Lees die konfigurasie wat DD-WRT gegenereer het

DD-WRT gee nie vir OpenVPN die teks wat jy in die webkoppelvlak ingetik het nie. Dit skryf ’n gegenereerde konfigurasie na /tmp/openvpn/openvpn.conf en begin die daemon teen daardie lêer, so die GUI-velde en enige Additional Config-teks word saamgevoeg voordat OpenVPN dit ooit sien. As jy die vorm in plaas van die gegenereerde lêer ontfout, lees jy ’n bedoeling eerder as die werklike invoer. Kopieer daardie lêer na ’n blywende plek voordat ’n herlaai /tmp skoonmaak.

Vergelyk die gegenereerde lêer met wat jy bedoel het, veral waar die GUI ’n richtlijn skryf wat jy nooit gekies het nie. ’n Aftrekkelys wat ’n verouderde opsie uitstuur, is onsigbaar in die vorm en noodlottig vir die daemon.

As die gegenereerde lêer leeg is of ontbreek, het die daemon nooit eens begin nie, en die probleem lê stroomop van OpenVPN.

Wat OpenVPN 2.5 nie meer aanvaar nie

OpenVPN 2.5 het ncp-ciphers met data-ciphers vervang, en dit het die verstek minimum TLS-weergawe na 1.2 verhoog. Dit het ook die hantering van kompressie verander, sodat ’n eweknie wat kompressie aanbied, geweier word tensy die konfigurasie dit uitdruklik toelaat, en dit het ouer opsiename soos ns-cert-type ten gunste van remote-cert-tls. Elkeen van daardie veranderinge maak ’n voorheen werkende konfigurasie ’n ontledings- of onderhandelingsfout.

Die foutmodus verskil per richtlijn. ’n Onbekende of verwyderde opsie stop die daemon by die opstart, dit is jou dooie luisteraar. ’n Onderhandelingswanpassing laat die daemon loop en weier kliënte, wat van die kliënt se kant soos ’n firewall-probleem lyk.

Lees die eerste fout in die log eerder as die laaste een. Ontleding stop by die eerste slegte richtlijn, en alles daarna is geraas van die afsluiting.

Die Broadcom-spesifieke voorvereistes

Op Broadcom-bousels moet die tonneltoestel bestaan voordat die daemon dit kan gebruik. Kontroleer dat die tun-module gelaai is en dat /dev/net/tun teenwoordig is, want ’n ontbrekende toestel veroorsaak ’n opstartfout wat niks met sertifikate te doen het nie. Dieselfde geld vir die hulptekste wat DD-WRT vir roetes en DNS genereer: as hulle ontbreek of nie uitvoerbaar is nie, kan die daemon begin en steeds nie sy opstelling voltooi nie.

Voer die daemon in die voorgrond uit met hoër breedsprakigheid teen die gegenereerde konfigurasie wanneer jy die werklike boodskap nodig het. ’n Voorgrondloop druk die ontledingsfout uit wat die init-skrip ingesluk het.

Herstel dan die normale diens, want ’n voorgrond-daemon en die init-skrip sal oor die poort baklei.

Bewys die luisteraar bestaan voordat jy kliënte ontfout

Bevestig die proses en die socket afsonderlik: een opdrag vir die lopende daemon, ’n ander vir ’n gebinde UDP-poort op die verwagte adres. ’n Proses sonder ’n socket beteken dit is nog in opstelling of aan die verkeerde koppelvlak gebind. Die paar is ’n nuttige toets juis omdat die een helfte nie waar kan wees sonder die ander nie.

Eers nadat die luisteraar bestaan, maak ontfouting aan die kliëntekant sin. Kontroleer dan dat die kliënt se syfer- en TLS-instellings by die bediener se data-ciphers lys en minimum weergawe pas, en dat die poort werklik na die router deurgestuur word.

Bewaar die gegenereerde konfigurasie en die logreël wat die regstelling bewys het. Die volgende firmware-opdatering kan die verstekwaardes weer verander, en daardie rekord is wat ’n herhaling in ’n vyf-minute-kontrole omskep.