Ці можна пераўтварыць канфігурацыю WireGuard у OpenVPN?

У вас ёсць wg0.conf, а кліент прымае толькі .ovpn, і нехта прапануе пераўтварыць файл. Перайменаванне дае профіль, які OpenVPN не можа разгледзець, а старанны пераклад поле за полем дае той, што разглядаецца і потым зрываецца на рукапацісканні. Прычына не ў фармаце файла. WireGuard і OpenVPN — розныя пратакоды з рознымі рукапацісканнямі, рознымі мадэлямі аўтэнтыфікацыі і рознымі ўяўленнямі пра тое, што такое peer. Пераўтварэнне працуе толькі ў тым сэнсе, што вы можаце атрымаць профіль OpenVPN у таго, хто кіруе процілеглым бокам.

Файл, які ў вас ёсць, апісвае peer, а не профіль злучэння

Канфігурацыя WireGuard кароткая, бо такі пратакол: інтэрфейс з прыватным ключом і адрасамі, затым адзін або некалькі peer з публічным ключом, endpoint і спісам AllowedIPs. Няма пласта перамоваў для налады і няма набору шыфраў для выбару.

Профіль OpenVPN — гэта кліент для кіравальнага канала на аснове TLS, таму ён змяшчае спасылкі на сертыфікаты або ўліковыя даныя і дырэктывы, якія апісваюць, як ажыццяўляць аўтэнтыфікацыю.

Чаму перакладзены файл усё роўна зрываецца на рукапацісканні

WireGuard пачынаецца з рукапаціскання на аснове Noise, ключамі для якога служаць статычныя ключы peer, і маўчыць, пакуль публічны ключ peer невядомы. OpenVPN адкрывае сесію TLS, правярае сертыфікат сервера або статычны ключ, затым аўтэнтыфікуе карыстальніка сертыфікатамі, імем і паролем або і тым, і іншым. Нішто ў файле WireGuard гэтага не апісвае. Перакладзены файл меў бы правільны endpoint і ўсё астатняе няправільнае.

Паўторнае выкарыстанне адраса і порта таксама не дапамагае, бо процілеглы бок чакае іншы пакет.

Што спытаць у пастаўшчыка

Калі файл WireGuard выдаў пастаўшчык, спытайце, ці мае той самы ўліковы запіс доступ да OpenVPN, і запытайце гэты профіль. Многія маюць, і ён прыходзіць з уласнымі ўліковымі данымі, а не як змененая копія першага.

Калі адказ адмоўны, абмежаванне ў падпісцы, а не ў файле, і ніводзін канвертар гэта не зменіць.

Калі маршрутызатар або кліент ведае толькі OpenVPN

Калі прылада, якая мусіць падключыцца, падтрымлівае толькі OpenVPN, праверце дакументаваную падтрымку пратаколаў на процілеглым баку, перш чым шукаць іншае пашырэнне. Маршрутызатар, які тэрмінуе OpenVPN, нельга схіліць прымаць WireGuard імпартам файла. Працаздольныя варыянты — endpoint OpenVPN на баку сервера або іншая прылада, якая гаворыць на WireGuard.

Выбірайце па тым, хто кіруе процілеглым бокам, а не па тым, які файл у вас выпадкова ёсць.

Калі сервер ваш, дадайце пратакол

Падтрымка другога пратакола значыць запуск другой службы. На серверы Linux гэта асобнік OpenVPN са сваім CA, сертыфікатам сервера, сертыфікатамі кліентаў і дырэктывамі server і push, а таксама правіла міжсеткавага экрана для яго порта. Існуючы запіс peer у WireGuard не апісвае ніводнага з гэтых аб'ектаў. Плануйце пул адрасоў і прасоўваемыя маршруты асобна ад AllowedIPs у WireGuard, бо гэта не адзін і той жа механізм пад двума імёнамі.

Затым праверце з кліента: профіль загружаецца, сесія TLS завяршаецца, прасоўваемы маршрут з'яўляецца, і трафік дасягае хоста, даступнага толькі праз тунель.

Дзе ідэя з канвертарам бяспечная

Перакладаць значэнні ўручную ў нататкі — гэта добра і часта карысна, бо endpoint, адрасы і публічны ключ peer — проста факты пра разгортванне. Загружаць прыватны ключ на сайт, які абяцае пераўтварэнне, — не, бо гэты ключ і ёсць уліковыя даныя, а ў сэрвіса няма пратакола, у які яго пераўтвараць. Калі вам патрэбны той самы доступ з кліента OpenVPN, папрасіце замест гэтага ўліковыя даныя OpenVPN.

Трымайце дзве канфігурацыі побач і разглядайце іх як асобныя шляхі доступу, бо яны такімі і ёсць.