Netgear OpenVPN: TUN i TAP slušaju na različitim portovima

Telefon se bez pritužbe povezuje na VPN rutera, a laptop s profilom s iste stranice za preuzimanje istekne. Ništa u vezi s certifikatima nije se promijenilo između ta dva pokušaja, jer laptop nikada nije stigao do točke gdje su certifikati važni. Ruter objavljuje odvojene slušaoce za TUN i TAP, a radni profil mora odabrati onaj koji pripada njegovom vlastitom tipu uređaja.

Odlučiti koji od tri moguća kvara slijediti ovdje je cijeli posao: port, tip uređaja ili pregovaranje šifre podatkovnog kanala.

Tri stvari koje se moraju slagati

Tip uređaja, linija sučelja u profilu i port slušaoca čine jedan izbor, a ne tri. Profil koji navodi dev tun i cilja na TAP slušaoca ne može dovršiti sesiju, a obrnuto pada na isti način. Za svoj model i firmver čitajte port s ruterove vlastite VPN stranice, a ne iz vodiča, jer se brojevi mijenjaju između verzija. Zapišite model i verziju firmvera uz taj broj da sljedeća osoba može provjeriti.

Izvještaji iz prakse spominju par poput 12973 za TUN i 12974 za TAP na jednom firmveru, a drugi broj na drugom. Čitajte ih kao dokaz da se verzije razlikuju, a ne kao konstante za kopiranje. Profilu tada treba hostname prikladan za udaljenost: ruterovo dinamičko DNS ime, a ne WAN adresa koja će se promijeniti.

Nakon ispravljanja porta i linije sučelja profil izgleda kao normalna klijentska konfiguracija s jednom remote linijom i jednom dev linijom. Ako se njih dvije ne slažu, nikakvo ponavljanje ne stvara sesiju.

Čitajte dnevnik redoslijedom kojim se ispisuje

Klijent OpenVPN prijavljuje događaje redoslijedom kojim se događaju, pa zadnji red prije tišine označava sloj koji treba pregledati. Kada se izvršavanje završi na TLS Error: TLS key negotiation failed ili jednostavno čeka prvi odgovor pa odustane, usporedba certifikata nikada se nije dogodila. To upućuje na dostupnost, na slušaoca ili na port iza kojeg nema ničega. Ništa od toga ne popravlja se zamjenom CA datoteke.

Izvršavanje koje stigne do VERIFY OK i zatim padne nalazi se posve drugdje, s vlastitim uzrocima. Razvrstavanje tih dvaju ishoda prije diranja datoteka sprječava klasičan obilazak kroz pakete certifikata koji nikada nisu bili konzultirani. Kad rukovanje završi, ali tunel se ne podigne, gledajte pregovaranje šifre umjesto dostupnosti.

Dodajte popis šifri koji moderni klijent očekuje

Noviji OpenVPN klijenti odbijaju starije zadane vrijednosti koje firmver potrošačkih uređaja još nudi, a simptom je neuspjeh pregovaranja odmah nakon uspješnog rukovanja. Popravak je jedna linija profila koja navodi što će klijent prihvatiti: postavite data-ciphers na AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 i AES-128-CBC tim redoslijedom. Svaki algoritam koji ruter ne implementira jednostavno se nikada ne odabere, pa dulji popis košta samo malo dulje pregovaranje.

Navođenje šifri ne uči ruter onoj koju nema. Ako pregovaranje i dalje ne uspijeva, provjerite ima li ruterova stranica vlastitu postavku šifre i uključuje li ta postavka barem jedan zapis koji klijent prihvaća. Dva popisa bez zajedničkog člana daju točno isti neuspjeh kao pogrešan port, zato oba kraja zaslužuju pogled.

Uvezite jednom umjesto ručnog uređivanja kopija

Uvoz ispravljene datoteke u NetworkManager izbjegava mapu punu malo različitih profila: nmcli connection import type openvpn file client.ovpn, zatim ga podignite po imenu. Držite uvezeni profil kao jedinu kopiju koju uređujete i brišite duplikate koji se nakupljaju ponovljenim preuzimanjima.

Zatim testirajte izvan LAN-a. Povezivanje iz iste mreže dokazuje vrlo malo, jer promet možda uopće ne prolazi kroz tunel. Potvrdite da zahtjev stvarno izlazi kroz ruter, a ne samo da klijent pokazuje povezano stanje.

Odlučite što učiniti s upozorenjima

Firmver potrošačkih uređaja obično stvara vlastito tijelo za izdavanje certifikata, a klijenti se žale na provjeru na načine koje firmver ne može ugušiti. Procijenite je li ta pritužba važna za ono što štitite umjesto da svako upozorenje tretirate kao kobno, i ne isključujte provjeru globalno da ušutkate jednu poruku. Upozorenje koje ste procijenili dokumentiran je rizik; postavka provjere koju ste onemogućili nije dokumentirana.

Kada firmver ne pruža podržan način da ispravite upozorenje koje je doista važno, taj jaz govori u prilog hostanju VPN-a negdje drugdje. Odabir između popravka profila, prihvaćanja upozorenja i premještanja odredišta odluka je o tome koliko vjerujete tom certifikatu. Donesite je namjerno i zapišite koju ste opciju odabrali, umjesto klikanja kroz dijaloge dok ikona ne postane zelena.