Чаму профіль OpenVPN не імпартуецца ў SoftEther

Два файлы, якія абодва выглядаюць як канфігурацыя VPN, трапляюць у адну папку, і працуе толькі адзін з іх. Профіль OpenVPN апісвае тунель TLS з дырэктывамі, якія разумее гэты кліент, а злучэнне SoftEther апісвае сеанс з віртуальным канцэнтратарам з іншым кантрактам аўтэнтыфікацыі. Пераўтварэнне аднаго ў другое — не практыкаванне па фарматаванні, бо два кліенты не рэалізуюць адзін і той жа пратакол. Вызначэнне таго, які сэрвіс аператар фактычна апублікаваў, вырашае ўсё наступнае.

Два файлы, два кантракты

Профіль OpenVPN — гэта канфігурацыя кліента: аддалены пункт прызначэння, транспарт, матэрыял TLS і дырэктывы для маршрутызацыі і перагавору. Злучэнне SoftEther — гэта ўласны сеанс кліента з віртуальным канцэнтратарам, да якога далучаны віртуальны адаптар.

Яны могуць апісваць доступ да адной сеткі, не будучы ўзаемазаменнымі. Слухач OpenVPN — гэта функцыя сумяшчальнасці, якую сервер можа апублікаваць на асобным порце, і ён гаворыць на OpenVPN, а не на ўласным пратаколе. Уласны кліент гаворыць на ўласным пратаколе і чакае свой профіль. Адзін сервер, дзве ўваходныя дзверы, і ў кожных дзвярэй свой ключ.

Пашырэнне файла амаль нічога не кажа, таму адказ аператара важнейшы за назву файла.

Прачытайце сервер, перш чым кранаць блок сертыфіката

Спытайце аператара пра тры рэчы: які порт і транспарт, які метад аўтэнтыфікацыі і які кліент яны чакаюць ад вас. Гэтыя адказы здымаюць большасць здагадак.

Затым пацвердзіце, што фактычна слухае, а не што сцвярджае інструкцыя. Адключаны слухач сумяшчальнасці нічога не паказвае на сваім порце, а ўключаны паказвае сокет, нават калі ніхто ніколі не падключаўся. Розніца паміж зачыненым портам і адмоўленым уваходам — першая карысная дыягностыка. Усё пасля гэтага залежыць ад таго, у якія дзверы пастукалі.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Порт UDP, якога няма ў спісе слухачоў, — гэта адключаная функцыя, а не праблема брандмаўэра.

Што патрэбна ўласнаму кліенту і чаго профіль даць не можа

Уласны кліент усталёўвае віртуальны сеткавы адаптар і прывязвае да яго злучэнне. Без гэтага адаптара няма інтэрфейсу для маршрутызацыі, таму ўласнае злучэнне можа прайсці аўтэнтыфікацыю і ўсё роўна не перадаваць трафік.

Уласная аўтэнтыфікацыя ідзе праз віртуальны канцэнтратар, з аб’ектам карыстальніка, створаным адміністратарам канцэнтратара. Блокі сертыфікатаў, скапіяваныя з профілю OpenVPN, не становяцца карыстальнікамі канцэнтратара, а карыстальнік канцэнтратара не становіцца сертыфікатам кліента. Дзве сістэмы захоўваюць рознае, і профілю няма куды падзець запіс карыстальніка канцэнтратара. Гэта структурная розніца, а не праблема сінтаксісу.

Трымайце прыватны ключ па-за любым сэрвісам пераўтварэння, бо ключ, які пакінуў машыну, трэба лічыць раскрытым.

Што прымае сумяшчальны з OpenVPN слухач

Слухач сумяшчальнасці з пункту гледжання кліента — сапраўдны сервер OpenVPN: ён чакае кліента OpenVPN і дырэктывы, якія гэты кліент падтрымлівае. Убудаваныя блокі сертыфікатаў — гэта функцыя OpenVPN, і яны належаць таму боку агароджы.

Чаго ён не зробіць — не прыме ўласны профіль SoftEther, бо гэты профіль не з’яўляецца канфігурацыяй OpenVPN. Слухач таксама не робіць уласнага кліента кліентам OpenVPN. Калі аператар прапануе толькі ўласны сэрвіс, адказ — уласны кліент; калі ён прапануе сумяшчальны слухач, адказ — OpenVPN і яго ўласны матэрыял.

Папрасіце падтрыманы экспарт ад аператара замест таго, каб збіраць яго з фрагментаў, бо экспарт нясе дэталі, якія сабраны ўручную файл звычайна прапускае.

Дакажыце шлях, перш чым правіць дырэктывы

Пасля выбару кліента праверце тунель, перш чым кранаць маршруты. Паспяховы ўваход і інтэрфейс, які перадае трафік, — два розныя вынікі.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Параўнайце прызначаны адрас з пулам, які апісаў аператар, затым асобна паглядзіце на маршруты і рэзалвер. Уласнае злучэнне з канцэнтратарам можа чыста аўтэнтыфікавацца і зусім не ўсталяваць маршрутаў, што з боку кліента выглядае як зламаны тунель. Толькі калі гэтыя тры збягаюцца, варта правіць дырэктыву. Больш ранняя праўка хавае, які ўзровень быў няправільны.