Gwrandawr OpenVPN 2.5 ar DD-WRT wedi marw? Darllenwch y ffurfwedd a gynhyrchwyd

Mae gwrandawr marw ar DD-WRT fel arfer yn golygu bod y daemon wedi gadael wrth ddadansoddi ei ffurfwedd, nid bod rheol wal dân wedi blocio’r porth. Mae OpenVPN 2.5 wedi tynhau sawl rhagosodiad yr oedd ffurfweddau hŷn yn dibynnu arnynt, a gall ffurfwedd a gynhyrchwyd a oedd yn gweithio ar adeilediad hŷn gael ei gwrthod cyn i’r soced agor o gwbl. Mae’r rheswm yn log y llwybrydd ei hun, a’r mewnbwn yn y ffeil a gynhyrchwyd. Mae darllen y ddau yn y drefn honno yn gyflymach nag unrhyw gipio pecynnau.

Nid y daemon yw’r wal dân

Mae’r gwahaniaeth yn bwysig oherwydd bod y ddau fethiant yn edrych yr un fath o’r tu allan: mae cleient yn anfon handshake ac yn cael dim yn ôl. Un yw proses nad yw’n rhedeg, a’r llall yw proses sy’n rhedeg ac yn hidlo.

Gwahanwch nhw gyda dau wiriad cyn i chi newid unrhyw beth, oherwydd nid yw golygu wal dân ar daemon marw yn ychwanegu dim ond ail newidyn.

Darllenwch y ffurfwedd a gynhyrchwyd gan DD-WRT

Nid yw DD-WRT yn rhoi i OpenVPN y testun a deipiwyd gennych yn y rhyngwyneb gwe. Mae’n ysgrifennu ffurfwedd a gynhyrchwyd i /tmp/openvpn/openvpn.conf ac yn cychwyn y daemon gyda’r ffeil honno, felly mae meysydd y rhyngwyneb a pha bynnag destun yn Additional Config yn cael eu huno cyn i OpenVPN eu gweld. Os ydych chi’n dadfygio’r ffurflen yn lle’r ffeil a gynhyrchwyd, rydych chi’n darllen bwriad yn hytrach na’r mewnbwn gwirioneddol. Copïwch y ffeil honno i le parhaol cyn i ailgychwyn /tmp ei glirio.

Cymharwch y ffeil a gynhyrchwyd â’r hyn yr oeddech chi’n bwriadu, yn enwedig lle mae’r rhyngwyneb yn ysgrifennu cyfarwyddeb na wnaethoch chi erioed ei dewis. Mae blwch disgyn yn allyrru opsiwn darfodedig yn anweledig yn y ffurflen ac yn angheuol i’r daemon.

Os yw’r ffeil a gynhyrchwyd yn wag neu ar goll, ni chyrhaeddodd y daemon hyd yn oed y cychwyn, ac mae’r broblem uwchben OpenVPN.

Beth wnaeth OpenVPN 2.5 roi’r gorau i’w dderbyn

Mae OpenVPN 2.5 wedi disodli ncp-ciphers â data-ciphers, ac wedi codi’r fersiwn TLS lleiaf rhagosodedig i 1.2. Newidiodd hefyd driniaeth cywasgu fel bod partner sy’n cynnig cywasgu yn cael ei wrthod oni bai bod y ffurfwedd yn caniatáu hynny’n benodol, ac mae wedi nodi enwau opsiynau hŷn fel ns-cert-type yn darfodedig o blaid remote-cert-tls. Mae pob un o’r newidiadau hynny yn troi ffurfwedd a oedd yn gweithio o’r blaen yn fethiant dadansoddi neu drafod.

Mae’r modd methu yn dibynnu ar y gyfarwyddeb. Mae opsiwn anhysbys neu wedi’i dynnu yn atal y daemon wrth gychwyn, sef eich gwrandawr marw. Mae anghytundeb trafod yn gadael y daemon i redeg ac yn gwrthod cleientiaid, sy’n edrych fel problem wal dân o du’r cleient.

Darllenwch y gwall cyntaf yn y log, nid yr olaf. Mae dadansoddi yn stopio ar y gyfarwyddeb ddrwg gyntaf, ac mae popeth ar ei hôl yn sŵn o’r cau.

Y rhagofynion sy’n benodol i Broadcom

Ar adeilediadau Broadcom mae’n rhaid i’r ddyfais tiwn fodoli cyn y gall y daemon ei defnyddio. Gwiriwch fod y modiwl tun wedi’i lwytho a bod /dev/net/tun yn bresennol, oherwydd mae dyfais ar goll yn cynhyrchu methiant cychwyn nad oes ganddo ddim i’w wneud â thystysgrifau. Mae’r un peth yn wir am y sgriptiau cynorthwyol y mae DD-WRT yn eu cynhyrchu ar gyfer llwybrau a DNS: os ydyn nhw ar goll neu ddim yn weithredadwy, gall y daemon gychwyn a pharhau i fethu gorffen ei osodiad.

Rhedwch y daemon yn y blaendir gyda mwy o fanwl gywirdeb dros y ffurfwedd a gynhyrchwyd pan fydd angen y neges wirioneddol. Mae rhediad blaendir yn argraffu’r gwall dadansoddi a lyncwyd gan y sgript init.

Yna adferwch y gwasanaeth arferol, oherwydd bydd daemon blaendir a’r sgript init yn ymladd dros y porth.

Profwch fod y gwrandawr yn bodoli cyn i chi ddadfygio cleientiaid

Cadarnhewch y broses a’r soced ar wahân: un gorchymyn ar gyfer y daemon sy’n rhedeg, un arall ar gyfer porth UDP wedi’i rwymo ar y cyfeiriad disgwyliedig. Mae proses heb soced yn golygu ei bod yn dal i osod neu wedi’i rhwymo i’r rhyngwyneb anghywir. Mae’r pâr yn brawf defnyddiol yn union oherwydd na all un hanner fod yn wir heb y llall.

Dim ond ar ôl i’r gwrandawr fodoli y mae dadfygio ar du’r cleient yn gwneud synnwyr. Yna gwiriwch fod cipher a gosodiadau TLS y cleient yn cyfateb i data-ciphers y gweinydd a’i fersiwn lleiaf, a bod y porth mewn gwirionedd yn cael ei anfon ymlaen i’r llwybrydd.

Cadwch y ffurfwedd a gynhyrchwyd a’r llinell log a brofodd y cywiriad. Gall y diweddariad cadarnwedd nesaf newid y rhagosodiadau eto, a’r cofnod hwnnw sy’n troi ailadrodd yn wiriad pum munud.