El perfil OpenVPN de Windows falla a Ubuntu: tres capes

Inicieu el mateix perfil des del terminal i el missatge que la majoria de gent copia és un avís, no el motiu pel qual el client s’ha aturat. Aquí fallen tres capes independents: una directiva enviada que la compilació de Linux no implementa, els drets necessaris per crear un dispositiu tun i l’assistent de resolució que converteix una connexió en un DNS funcional. Resoleu-les en ordre, perquè cadascuna pot amagar la següent.

Conserveu la descàrrega tal com va arribar i editeu una còpia, perquè una descàrrega nova no reverteixi els canvis en silenci.

Llegiu l’avís abans de culpar-lo

block-outside-dns bloqueja el DNS a Windows mitjançant la Plataforma de filtratge de Windows, i el client de Linux no té res a què associar-ho. Quan el servidor l’envia, el client imprimeix una línia d’opció no reconeguda per a aquesta entrada enviada i continua, perquè una opció enviada no es tracta com a fatal. La línia idèntica al vostre propi fitxer és una altra cosa: allà l’analitzador s’atura. Decidiu quina de les dues teniu abans de tocar res, perquè només una d’elles acaba l’execució.

Per eliminar el soroll, filtreu-lo abans d’analitzar: una entrada pull-filter ignore per a aquest nom, o --ignore-unknown-option quan la línia és al fitxer local. Totes dues silencien una línia que ja heu llegit; cap no repara una fallada que no heu diagnosticat.

Els privilegis fallen abans que qualsevol altra cosa

Un dispositiu tun i les rutes que l’acompanyen són objectes privilegiats, i un compte normal no els pot crear. L’opció --user explica aquesta divisió: el dimoni renuncia als seus privilegis només després que la feina privilegiada estigui feta. Inicieu-lo com a root, o mitjançant una unit que el posi en marxa així, i després busqueu un error de permisos abans de mirar els certificats. Relaxar els permisos del fitxer del perfil no dona al procés els drets que li falten.

Un error de TLS vol dir que el client ha superat aquesta capa. Una queixa sobre el dispositiu o la ruta vol dir que mai no ha arribat a la capa de dalt.

Què fa la GUI que el terminal no fa

Connectar-se amb èxit mentre totes les consultes continuen fallant és la tercera capa. NetworkManager fa la seva pròpia feina de resolució, i per això una importació d’escriptori pot repartir DNS fins i tot quan l’script up del perfil mai no ha funcionat. L’ordre openvpn --config executa el que anomeni --up, i si aquest assistent no hi és, la interfície apareix mentre les consultes segueixen anant als servidors anteriors. Compareu els scripts dels dos camins abans d’instal·lar res.

Utilitzeu l’assistent empaquetat per a la vostra distribució; un script copiat d’una entrada de blog normalment apunta a un altre resolutor. La integració que s’envia per a systemd-resolved no és l’script genèric a l’estil vpnc, i cadascuna espera els seus propis arguments i variables del client. Els scripts up definits per l’usuari també requereixen script-security 2 abans que el client els executi.

Separeu les capes a la propera execució

Executeu-ho un cop amb --verb 4 i llegiu el registre en l’ordre en què va passar: creació del dispositiu, rutes, mà a mà TLS i després la sortida de l’script up. La primera fallada d’aquesta seqüència és la que val la pena arreglar; tot el que ve després sol ser una conseqüència. Un túnel que s’estableix mentre el resolutor no ho fa us situa a la tercera capa, on el certificat és irrellevant. Deixeu el perfil descarregat intacte mentre compareu.

Quan cada retoc de l’operador produeix una altra línia rebutjada, el fitxer apunta a una altra plataforma. Demaneu una exportació per a Linux en lloc de construir una llista de filtres permanent.

Anoteu quina capa ha fallat i què l’ha canviat, perquè la propera persona que rebi el mateix fitxer, si no, també s’aturarà a l’avís.