Netgear OpenVPN: TUN і TAP слухаюць на розных партах

Тэлефон падключаецца да VPN маршрутызатара без скаргаў, а ноўтбук з профілем з той жа старонкі спампоўкі атрымлівае тайм-аўт. Нічога ў сертыфікатах паміж гэтымі дзвюма спробамі не змянілася, бо ноўтбук так і не дасягнуў моманту, дзе сертыфікаты маюць значэнне. Маршрутызатар публікуе асобныя слухачы для TUN і TAP, і працоўны профіль павінен выбраць той, які належыць яго ўласнаму тыпу прылады.

Вырашыць, за якой з трох магчымых несправоднасцей гнацца, — гэта ўся задача тут: порт, тып прылады ці ўзгадненне шыфра канала даных.

Тры рэчы, якія павінны супадаць

Тып прылады, радок інтэрфейса профіля і порт слухача ўтвараюць адзін выбар, а не тры. Профіль, які абвяшчае dev tun і нацэлены на слухача TAP, не можа завяршыць сеанс, і адваротнае правальваецца гэтак жа. Для вашай мадэлі і прашыўкі чытайце порт на ўласнай старонцы VPN маршрутызатара, а не з кіраўніцтва, бо нумары змяняюцца паміж зборкамі. Запішыце мадэль і версію прашыўкі побач з гэтым нумарам, каб наступны чалавек мог праверыць.

Паведамленні з поля згадваюць пару, напрыклад 12973 для TUN і 12974 для TAP на адной прашыўцы, і іншы нумар на другой. Чытайце гэта як доказ, што зборкі адрозніваюцца, а не як канстанты для капіравання. Затым профілю патрэбна імя хоста, адпаведнае адлегласці: дынамічнае DNS-імя маршрутызатара, а не адрас WAN, які зменіцца.

Пасля выпраўлення порта і радка інтэрфейса профіль выглядае як звычайная канфігурацыя кліента з адным радком remote і адным радком dev. Калі яны не супадаюць, ніякая колькасць паўтораў не стварае сеанс.

Чытайце журнал у тым парадку, у якім ён друкуецца

Кліент OpenVPN паведамляе пра падзеі ў парадку іх здарання, таму апошні радок перад цішынёй вызначае ўзровень для праверкі. Калі прагон сканчаецца на TLS Error: TLS key negotiation failed або проста чакае першага адказу і здаецца, параўнанне сертыфікатаў не адбывалася. Гэта паказвае на дасяжнасць, на слухача або на порт, за якім нічога няма. Нічога з гэтага не выпраўляецца заменай файла CA.

Прагон, які дасягае VERIFY OK і потым правальваецца, знаходзіцца зусім у іншым месцы, са сваімі прычынамі. Размежаванне гэтых двух вынікаў перад дотыкам да файлаў прадухіляе класічны аб'езд праз пакеты сертыфікатаў, да якіх ніколі не звярталіся. Калі рукапоціск завершаны, але тунель не ўзнімаецца, глядзіце на ўзгадненне шыфра замест дасяжнасці.

Дадайце спіс шыфраў, якога чакае сучасны кліент

Нядаўнія кліенты OpenVPN адмаўляюцца ад старых значэнняў па змаўчанні, якія прашыўка спажывецкіх прылад усё яшчэ прапануе, і сімптом — збой узгаднення адразу пасля паспяховага рукапоціску. Выпраўленне — адзін радок профіля, які называе тое, што кліент прыме: усталюйце data-ciphers у AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 і AES-128-CBC у гэтым парадку. Любы алгарытм, які маршрутызатар не рэалізуе, проста ніколі не выбіраецца, таму даўжэйшы спіс каштуе толькі трохі даўжэйшага ўзгаднення.

Пералік шыфраў не вучыць маршрутызатар таму, чаго ў яго няма. Калі ўзгадненне ўсё яшчэ правальваецца, праверце, ці ёсць на старонцы маршрутызатара ўласная налада шыфра і ці ўключае яна хаця б адзін пункт, які кліент прымае. Два спісы без агульнага элемента даюць дакладна такі ж збой, як няправільны порт, таму абодва бакі вартыя позірку.

Імпартуйце адзін раз замест ручнога рэдагавання копій

Імпарт выпраўленага файла ў NetworkManager пазбаўляе ад папкі, поўнай трохі розных профіляў: nmcli connection import type openvpn file client.ovpn, затым падніміце яго па імені. Трымайце імпартаваны профіль адзінай копіяй, якую вы рэдагуеце, і выдаляйце дублікаты, што назапашваюцца ад паўторных спамповак.

Затым праверце з-за межаў LAN. Падключэнне з той жа сеткі даказвае вельмі мала, бо трафік можа наогул не праходзіць праз тунель. Пацвердзіце, што запыт сапраўды выходзіць праз маршрутызатар, а не проста што кліент паказвае стан падключэння.

Вырашыце, што рабіць з папярэджаннямі

Прашыўка спажывецкіх прылад звычайна стварае ўласны цэнтр сертыфікацыі, і кліенты скардзяцца на праверку так, што прашыўка не можа гэтага заглушыць. Ацаніце, ці мае гэтая скарга значэнне для таго, што вы абараняеце, замест таго каб лічыць кожнае папярэджанне фатальным, і не адключайце праверку глабальна, каб заглушыць адно паведамленне. Папярэджанне, якое вы ацанілі, — гэта дакументаваная рызыка; налада праверкі, якую вы адключылі, — недакументаваная.

Калі прашыўка не дае падтрыманага спосабу выправіць папярэджанне, якое сапраўды мае значэнне, гэтая прага схіляе да размяшчэння VPN у іншым месцы. Выбар паміж рамонтам профіля, прыняццем папярэджання і пераносам канчатковай кропкі — гэта рашэнне пра тое, наколькі вы давяраеце таму сертыфікату. Прыміце яго свядома і запішыце, які варыянт вы абралі, замест таго каб пстрыкаць па дыялогах, пакуль значок не стане зялёным.