Zašto se OpenVPN profil ne može uvesti u SoftEther

Dvije datoteke koje obje izgledaju kao VPN konfiguracija završe u istoj mapi, a radi samo jedna od njih. OpenVPN profil opisuje TLS tunel s direktivama koje taj klijent razumije, dok SoftEther veza opisuje sesiju prema virtualnom čvorištu s drukčijim ugovorom o provjeri identiteta. Pretvaranje jednog u drugo nije vježba formatiranja, jer dva klijenta ne provode isti protokol. Utvrđivanje koje je usluge operater zapravo objavio određuje sve što slijedi.

Dvije datoteke, dva ugovora

OpenVPN profil je konfiguracija klijenta: udaljena krajnja točka, prijenos, TLS materijal i direktive za usmjeravanje i ponovno pregovaranje. SoftEther veza je matična klijentska sesija prema virtualnom čvorištu, s virtualnim adapterom priključenim na nju.

Mogu opisivati pristup istoj mreži, a da pritom nisu zamjenjivi. OpenVPN slušatelj je značajka kompatibilnosti koju poslužitelj može objaviti na zasebnom portu i govori OpenVPN umjesto matičnog protokola. Matični klijent govori matični protokol i očekuje vlastiti profil. Jedan poslužitelj, dvoja vrata i svaka vrata imaju svoj ključ.

Ekstenzija datoteke ne govori vam gotovo ništa, zato je odgovor operatera važniji od imena datoteke.

Pročitajte poslužitelj prije nego dotaknete blok certifikata

Pitajte operatera tri stvari: koji port i prijenos, koja metoda provjere identiteta i koji klijent očekuje da koristite. Ti odgovori uklanjaju većinu nagađanja.

Zatim potvrdite što stvarno sluša, a ne što tvrdi neki vodič. Onemogućen slušatelj kompatibilnosti ne pokazuje ništa na svom portu, a omogućen pokazuje utičnicu čak i kad se nikad nitko nije spojio. Razlika između zatvorenog porta i odbijene prijave prva je korisna dijagnostika. Sve nakon toga ovisi o tome na koja su vrata pokucali.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

UDP port koji nedostaje na popisu slušatelja znak je onemogućene značajke, a ne problema s vatrozidom.

Što matični klijent treba, a profil mu ne može dati

Matični klijent instalira virtualni mrežni adapter i veže vezu za njega. Bez tog adaptera nema sučelja kroz koje bi se usmjeravalo, zato se matična veza može uspješno prijaviti i ipak ne prenositi promet.

Matična provjera identiteta ide prema virtualnom čvorištu, s korisničkim objektom koji je stvorio administrator čvorišta. Blokovi certifikata kopirani iz OpenVPN profila ne postaju korisnici čvorišta, a korisnik čvorišta ne postaje klijentski certifikat. Dva sustava pohranjuju različite stvari, a profil nema kamo staviti zapis korisnika čvorišta. To je strukturna razlika, a ne sintaktički problem.

Držite privatni ključ podalje od svake usluge pretvorbe, jer ključ koji napusti stroj mora se smatrati otkrivenim.

Što prihvaća OpenVPN-kompatibilan slušatelj

Slušatelj kompatibilnosti je pravi OpenVPN poslužitelj iz perspektive klijenta: očekuje OpenVPN klijenta i direktive koje taj klijent podržava. Ugrađeni blokovi certifikata značajka su OpenVPN-a i pripadaju onoj strani ograde.

Ono što neće učiniti jest prihvatiti matični SoftEther profil, jer taj profil nije OpenVPN konfiguracija. Slušatelj također ne pretvara matičnog klijenta u OpenVPN klijenta. Ako operater nudi samo matičnu uslugu, odgovor je matični klijent; ako nudi slušatelj kompatibilnosti, odgovor je OpenVPN i njegov vlastiti materijal.

Zatražite operaterov podržani izvoz umjesto sastavljanja vlastitog od dijelova, jer izvoz nosi pojedinosti koje ručno sastavljena datoteka obično propušta.

Dokažite put prije nego uredite direktive

Kad je klijent odabran, testirajte tunel prije nego dotaknete rute. Uspješna prijava i sučelje koje prenosi promet dva su različita rezultata.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Usporedite dodijeljenu adresu sa skupom koji je operater opisao, zatim odvojeno pogledajte rute i razrješivač. Matična veza s čvorištem može se čisto prijaviti i ne instalirati nijednu rutu, što s klijentske strane izgleda kao pokvaren tunel. Tek kad se ta tri slože, vrijedi uređivati direktivu. Ranije uređivanje skriva koji je sloj bio pogrešan.