Netgear OpenVPN: TUN a TAP poslouchají na různých portech

Telefon se bez potíží připojí k VPN routeru a notebook s profilem ze stejné stránky ke stažení vyprší. Mezi oběma pokusy se na certifikátech nic nezměnilo, protože notebook se nikdy nedostal do bodu, kde certifikáty hrají roli. Router publikuje samostatné posluchače pro TUN a TAP a funkční profil musí zvolit ten, který patří jeho vlastnímu typu zařízení.

Rozhodnout, kterou ze tří možných závad sledovat, je tady celá práce: port, typ zařízení, nebo vyjednávání šifry datového kanálu.

Tři věci, které musí souhlasit

Typ zařízení, řádek rozhraní v profilu a port posluchače tvoří jednu volbu, ne tři. Profil, který deklaruje dev tun a míří na posluchač TAP, nemůže dokončit relaci, a opačně selhává stejně. Pro svůj model a firmware čtěte port z vlastní VPN stránky routeru, ne z návodu, protože čísla se mezi verzemi mění. Napište model a verzi firmwaru vedle toho čísla, aby to příští člověk mohl ověřit.

Zprávy z terénu zmiňují dvojici jako 12973 pro TUN a 12974 pro TAP na jednom firmwaru a jiné číslo na jiném. Čtěte je jako důkaz, že se verze liší, ne jako konstanty ke kopírování. Profil pak potřebuje hostname odpovídající vzdálenosti: dynamické DNS jméno routeru, ne WAN adresu, která se změní.

Po opravě portu a řádku rozhraní vypadá profil jako běžná klientská konfigurace s jedním řádkem remote a jedním řádkem dev. Pokud se ty dva neshodují, žádné opakování relaci nevytvoří.

Čtěte log v pořadí, v jakém se vypisuje

Klient OpenVPN hlásí události v pořadí, v jakém nastanou, takže poslední řádek před tichem určuje vrstvu k prozkoumání. Když běh skončí na TLS Error: TLS key negotiation failed, nebo jen čeká na první odpověď a vzdá to, srovnání certifikátů nikdy neproběhlo. Ukazuje to na dostupnost, na posluchač nebo na port, za kterým nic není. Nic z toho se opravou souboru CA nespraví.

Běh, který dojde na VERIFY OK a pak selže, sedí úplně jinde, s vlastními příčinami. Rozlišení těchto dvou výsledků před jakýmkoli saháním na soubory zabrání klasické oklice přes balíky certifikátů, na které se nikdy neptalo. Když se handshake dokončí, ale tunel nenaběhne, dívejte se na vyjednávání šifry místo dostupnosti.

Přidejte seznam šifer, který moderní klient očekává

Novější klienti OpenVPN odmítají starší výchozí hodnoty, které firmware spotřebitelských zařízení stále nabízí, a příznakem je selhání vyjednávání hned po úspěšném handshake. Oprava je jeden řádek profilu pojmenovávající, co klient přijme: nastavte data-ciphers na AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 a AES-128-CBC v tomto pořadí. Jakýkoli algoritmus, který router neimplementuje, se prostě nikdy nezvolí, takže delší seznam nestojí nic než o málo delší vyjednávání.

Vyjmenování šifer router nenaučí tu, kterou nemá. Pokud vyjednávání stále selhává, zkontrolujte, zda stránka routeru má vlastní nastavení šifry a zda toto nastavení obsahuje alespoň jednu položku, kterou klient přijímá. Dva seznamy bez společného člena dávají přesně stejné selhání jako špatný port, a proto si oba konce zaslouží pohled.

Importujte jednou místo ručního upravování kopií

Import opraveného souboru do NetworkManageru se vyhne složce plné mírně odlišných profilů: nmcli connection import type openvpn file client.ovpn, pak jej zapněte podle názvu. Udržujte importovaný profil jako jedinou kopii, kterou upravujete, a mažte duplikáty, které se hromadí opakovaným stahováním.

Potom testujte zvenčí LAN. Připojení ze stejné sítě dokazuje velmi málo, protože provoz nemusí tunelem vůbec projít. Ověřte, že požadavek skutečně vychází přes router, ne jen že klient ukazuje připojený stav.

Rozhodněte, co s varováními

Firmware spotřebitelských zařízení si obvykle razí vlastní certifikační autoritu a klienti si na ověřování stěžují způsoby, které firmware neumí potlačit. Posuďte, zda na té stížnosti záleží pro to, co chráníte, místo abyste každé varování brali jako smrtelné, a nevypínejte ověřování globálně, abyste umlčeli jednu zprávu. Varování, které jste posoudili, je zdokumentované riziko; nastavení ověřování, které jste vypnuli, zdokumentované není.

Když firmware nenabízí podporovaný způsob, jak opravit varování, na kterém opravdu záleží, tato mezera mluví pro hostování VPN jinde. Volba mezi opravou profilu, přijetím varování a přesunem koncového bodu je rozhodnutí o tom, jak moc tomu certifikátu věříte. Udělejte je vědomě a zapište, kterou možnost jste zvolili, místo klikání dialogů, dokud ikona nezelená.