Per què un perfil d’OpenVPN no s’importa a SoftEther

Dos fitxers que tots dos semblen configuració de VPN arriben a la mateixa carpeta, i només un funciona. El perfil d’OpenVPN descriu un túnel TLS amb directrius que aquest client entén, mentre que una connexió SoftEther descriu una sessió contra un concentrador virtual amb un contracte d’autenticació diferent. Convertir l’un en l’altre no és un exercici de format, perquè els dos clients no implementen el mateix protocol. Identificar quin servei ha publicat realment l’operador decideix tot el que segueix.

Dos fitxers, dos contractes

Un perfil d’OpenVPN és una configuració de client: un punt final remot, un transport, material TLS i directrius per a l’encaminament i la renegociació. Una connexió SoftEther és una sessió de client natiu contra un concentrador virtual, amb un adaptador virtual connectat.

Poden descriure l’accés a la mateixa xarxa sense ser intercanviables. L’oient d’OpenVPN és una funció de compatibilitat que el servidor pot publicar en un port separat, i parla OpenVPN en lloc del protocol natiu. El client natiu parla el protocol natiu i espera el seu propi perfil. Un servidor, dues portes i cada porta té la seva clau.

L’extensió del fitxer no us diu quasi res, i per això la resposta de l’operador importa més que el nom del fitxer.

Llegiu el servidor abans de tocar un bloc de certificat

Pregunteu a l’operador tres coses: quin port i transport, quin mètode d’autenticació i quin client esperen que feu servir. Aquestes respostes eliminen la major part de les conjectures.

Després confirmeu què està realment a l’escolta i no què afirma una guia. Un oient de compatibilitat desactivat no mostra res al seu port, i un d’activat mostra un sòcol fins i tot quan mai no s’hi ha connectat ningú. La diferència entre un port tancat i un inici de sessió refusat és el primer diagnòstic útil. Tot el que ve després depèn de a quina porta s’ha trucat.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Un port UDP absent de la llista d’oients és una funció desactivada i no un problema de tallafocs.

Què necessita el client natiu i un perfil no li pot donar

El client natiu instal·la un adaptador de xarxa virtual i hi lliga una connexió. Sense aquest adaptador no hi ha cap interfície per on encaminar, i per això una connexió nativa pot autenticar-se i tot i així no portar cap trànsit.

L’autenticació nativa funciona contra un concentrador virtual, amb un objecte d’usuari que ha creat l’administrador del concentrador. Els blocs de certificat copiats d’un perfil d’OpenVPN no es converteixen en usuaris del concentrador, i un usuari del concentrador no es converteix en certificat de client. Els dos sistemes guarden coses diferents, i un perfil no té lloc on posar el registre d’usuari del concentrador. Això és una diferència estructural i no un problema de sintaxi.

Manteniu la clau privada fora de qualsevol servei de conversió, perquè una clau que surt de la màquina s’ha de tractar com a revelada.

Què accepta l’oient compatible amb OpenVPN

L’oient de compatibilitat és un servidor OpenVPN de debò des del punt de vista del client: espera un client OpenVPN i les directrius que aquest client admet. Els blocs de certificat en línia són una funció d’OpenVPN, i corresponen a aquell costat de la tanca.

El que no farà és acceptar un perfil natiu de SoftEther, perquè aquest perfil no és una configuració d’OpenVPN. L’oient tampoc converteix el client natiu en un client OpenVPN. Si l’operador només ofereix el servei natiu, la resposta és el client natiu; si ofereix l’oient de compatibilitat, la resposta és OpenVPN i el seu propi material.

Demaneu l’exportació compatible de l’operador en lloc de muntar-ne una amb fragments, perquè l’exportació porta detalls que un fitxer fet a mà normalment omet.

Demostreu el camí abans d’editar directrius

Un cop triat el client, proveu el túnel abans de tocar les rutes. Un inici de sessió correcte i una interfície que porta trànsit són dos resultats diferents.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Compareu l’adreça assignada amb el conjunt que ha descrit l’operador, i després mireu les rutes i el resolutor per separat. Una connexió nativa al concentrador pot autenticar-se netament i no instal·lar cap ruta, cosa que des del costat del client sembla un túnel trencat. Només quan aquests tres coincideixen val la pena editar una directriu. Editar abans amaga quina capa era incorrecta.