Защо профил на OpenVPN не се импортира в SoftEther

Два файла, които и двата изглеждат като VPN конфигурация, попадат в една и съща папка и само един от тях работи. Профилът на OpenVPN описва TLS тунел с директиви, които този клиент разбира, докато връзката SoftEther описва сесия към виртуален хъб с различен договор за удостоверяване. Превръщането на едното в другото не е упражнение по форматиране, защото двата клиента не реализират един и същ протокол. Определянето коя услуга операторът действително е публикувал решава всичко след това.

Два файла, два договора

Профилът на OpenVPN е клиентска конфигурация: отдалечена крайна точка, транспорт, TLS материал и директиви за маршрутизиране и предоговаряне. Връзката SoftEther е родна клиентска сесия към виртуален хъб, с виртуален адаптер, прикачен към нея.

Те могат да описват достъп до една и съща мрежа, без да са взаимозаменяеми. Слушателят OpenVPN е функция за съвместимост, която сървърът може да публикува на отделен порт, и говори OpenVPN, а не родния протокол. Родният клиент говори родния протокол и очаква собствения си профил. Един сървър, две врати и всяка врата има свой ключ.

Разширението на файла не ви казва почти нищо, затова отговорът на оператора е по-важен от името на файла.

Прочетете сървъра, преди да пипате блок със сертификат

Попитайте оператора три неща: кой порт и транспорт, кой метод за удостоверяване и кой клиент очакват да използвате. Тези отговори премахват повечето догадки.

След това потвърдете какво действително слуша, а не какво твърди някое ръководство. Изключен слушател за съвместимост не показва нищо на своя порт, а включен показва сокет дори когато никой никога не се е свързвал. Разликата между затворен порт и отказан вход е първата полезна диагностика. Всичко след нея зависи от това на коя врата са почукали.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Липсващ в списъка на слушателите UDP порт означава изключена функция, а не проблем със защитната стена.

Какво нужно на родния клиент, което профилът не може да му даде

Родният клиент инсталира виртуален мрежов адаптер и обвързва връзка с него. Без този адаптер няма интерфейс, през който да се маршрутизира, затова родна връзка може да се удостовери и пак да не пренася трафик.

Родното удостоверяване работи към виртуален хъб, с потребителски обект, създаден от администратора на хъба. Блоковете със сертификати, копирани от профил на OpenVPN, не стават потребители на хъба, а потребителят на хъба не става клиентски сертификат. Двете системи съхраняват различни неща и профилът няма къде да постави потребителския запис на хъба. Това е структурна разлика, а не синтактичен проблем.

Дръжте частния ключ далеч от всяка услуга за преобразуване, защото ключ, който напуска машината, трябва да се третира като разкрит.

Какво приема съвместимият с OpenVPN слушател

Слушателят за съвместимост е истински OpenVPN сървър от гледна точка на клиента: очаква OpenVPN клиент и директивите, които този клиент поддържа. Вградените блокове със сертификати са функция на OpenVPN и принадлежат на онази страна на оградата.

Това, което няма да направи, е да приеме роден профил на SoftEther, защото този профил не е OpenVPN конфигурация. Слушателят също не превръща родния клиент в OpenVPN клиент. Ако операторът предлага само родната услуга, отговорът е родният клиент; ако предлага слушателя за съвместимост, отговорът е OpenVPN и неговият собствен материал.

Поискайте поддържания от оператора експорт вместо да сглобявате такъв от фрагменти, защото експортът носи подробности, които ръчно сглобеният файл обикновено пропуска.

Докажете пътя, преди да редактирате директиви

След като клиентът е избран, тествайте тунела, преди да пипате маршрути. Успешен вход и интерфейс, който пренася трафик, са два различни резултата.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Сравнете зададения адрес с пула, който операторът описа, после разгледайте отделно маршрутите и резолвера. Родна връзка към хъб може да се удостовери чисто и да не инсталира никакви маршрути, което от страна на клиента изглежда като счупен тунел. Едва след като тези три се съгласуват, си струва да се редактира директива. По-ранното редактиране скрива кой слой е бил грешен.