لماذا لا يُستورد ملف تعريف OpenVPN في SoftEther

ملفان يبدوان كلاهما كإعداد VPN يقعان في المجلد نفسه، ولا يعمل منهما إلا واحد. يصف ملف تعريف OpenVPN نفق TLS بتوجيهات يفهمها ذلك العميل، بينما يصف اتصال SoftEther جلسة تجاه مركز افتراضي بعقد مصادقة مختلف. تحويل أحدهما إلى الآخر ليس تمرينًا في التنسيق، لأن العميلين لا ينفذان البروتوكول نفسه. وتحديد الخدمة التي نشرها المشغّل فعليًا يحسم كل ما يلي.

ملفان، عقدان

ملف تعريف OpenVPN هو إعداد للعميل: نقطة نهاية بعيدة، وناقل، ومواد TLS، وتوجيهات للتوجيه وإعادة التفاوض. أما اتصال SoftEther فهو جلسة عميل أصلي تجاه مركز افتراضي، مع محول افتراضي مرتبط بها.

يمكنهما وصف الوصول إلى الشبكة نفسها دون أن يكونا قابلين للتبادل. مستمع OpenVPN ميزة توافق يستطيع الخادم نشرها على منفذ منفصل، وهو يتحدث OpenVPN بدلًا من البروتوكول الأصلي. والعميل الأصلي يتحدث البروتوكول الأصلي ويتوقع ملف تعريفه الخاص. خادم واحد وبابان، ولكل باب مفتاحه.

امتداد الملف لا يخبرك بشيء تقريبًا، ولهذا فإن جواب المشغّل أهم من اسم الملف.

اقرأ الخادم قبل أن تلمس كتلة شهادة

اسأل المشغّل عن ثلاثة أشياء: أي منفذ وناقل، وأي طريقة مصادقة، وأي عميل يتوقعون أن تستخدمه. تلك الأجوبة تزيل معظم التخمين.

ثم تحقق مما يستمع فعلًا بدلًا مما يدّعيه دليل. المستمع المتوافق عندما يكون معطّلًا لا يُظهر شيئًا على منفذه، وعندما يكون مفعّلًا يُظهر مقبسًا حتى لو لم يتصل أحد قط. الفرق بين منفذ مغلق وتسجيل دخول مرفوض هو أول تشخيص مفيد. وكل ما بعده يتوقف على الباب الذي طُرِق.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

غياب منفذ UDP من قائمة المستمعين دليل على ميزة معطّلة لا على مشكلة في الجدار الناري.

ما يحتاجه العميل الأصلي ولا يستطيع ملف التعريف تقديمه

يثبّت العميل الأصلي محول شبكة افتراضيًا ويربط به الاتصال. وبدون ذلك المحول لا توجد واجهة للتوجيه عبرها، ولهذا يمكن لاتصال أصلي أن يصادق ومع ذلك لا ينقل أي بيانات.

تجري المصادقة الأصلية على مركز افتراضي، بكائن مستخدم أنشأه مسؤول المركز. وكتل الشهادات المنسوخة من ملف تعريف OpenVPN لا تصبح مستخدمي مركز، ومستخدم المركز لا يصبح شهادة عميل. النظامان يخزنان أشياء مختلفة، وليس لملف التعريف مكان يضع فيه سجل مستخدم المركز. وهذا فرق بنيوي لا مشكلة في الصياغة.

أبقِ المفتاح الخاص خارج أي خدمة تحويل، لأن المفتاح الذي يغادر الجهاز يجب أن يُعامل على أنه مكشوف.

ما الذي يقبله المستمع المتوافق مع OpenVPN

المستمع المتوافق هو خادم OpenVPN حقيقي من وجهة نظر العميل: يتوقع عميل OpenVPN والتوجيهات التي يدعمها ذلك العميل. وكتل الشهادات المضمّنة ميزة من ميزات OpenVPN، وهي تنتمي إلى ذلك الجانب من السياج.

ما لن يفعله هو قبول ملف تعريف SoftEther أصلي، لأن ذلك الملف ليس إعداد OpenVPN. ولا يحوّل المستمع العميل الأصلي إلى عميل OpenVPN. فإذا كان المشغّل يقدم الخدمة الأصلية فقط، فالجواب هو العميل الأصلي، وإذا كان يقدم المستمع المتوافق، فالجواب هو OpenVPN ومواده الخاصة.

اطلب التصدير المدعوم من المشغّل بدلًا من تجميع واحد من الشظايا، لأن التصدير يحمل تفاصيل يغفل عنها الملف المبني يدويًا عادةً.

أثبت المسار قبل تعديل التوجيهات

بعد اختيار العميل، اختبر النفق قبل لمس المسارات. تسجيل الدخول الناجح وواجهة تنقل البيانات نتيجتان مختلفتان.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

قارن العنوان المخصص بالمجمّع الذي وصفه المشغّل، ثم انظر إلى المسارات والمحلل بشكل منفصل. يمكن لاتصال مركز أصلي أن يصادق بنظافة ولا يثبّت أي مسارات على الإطلاق، وهذا يبدو من جهة العميل كنفق معطل. ولا يستحق تعديل توجيه إلا بعد أن تتفق تلك الثلاثة. والتعديل المبكر يخفي أي طبقة كانت خاطئة.