Pam na fydd proffil OpenVPN yn mewngludo i SoftEther

Mae dau ffeil sy’n edrych fel ffurfweddiad VPN yn glanio yn yr un ffolder, a dim ond un ohonynt yn gweithio. Mae proffil OpenVPN yn disgrifio tiwnel TLS gyda chyfarwyddiadau y mae’r cleient hwnnw’n eu deall, tra bo cysylltiad SoftEther yn disgrifio sesiwn yn erbyn canolbwynt rhithwir gyda chontract dilysu gwahanol. Nid ymarfer fformatio yw trosi’r naill yn y llall, oherwydd nid yw’r ddau gleient yn gweithredu’r un protocol. Mae nodi pa wasanaeth a gyhoeddwyd gan y gweithredwr mewn gwirionedd yn penderfynu popeth sy’n dilyn.

Dau ffeil, dau gontract

Ffurfweddiad cleient yw proffil OpenVPN: pen draw pell, cludiant, deunydd TLS, a chyfarwyddiadau ar gyfer llwybro ac ailnegodi. Sesiwn cleient brodorol yn erbyn canolbwynt rhithwir yw cysylltiad SoftEther, gydag addasydd rhithwir ynghlwm wrthi.

Gallant ddisgrifio mynediad i’r un rhwydwaith heb fod yn gyfnewidiol. Nodwedd gydnawsedd yw gwrandawr OpenVPN y gall y gweinydd ei chyhoeddi ar borth ar wahân, ac mae’n siarad OpenVPN yn hytrach na’r protocol brodorol. Mae’r cleient brodorol yn siarad y protocol brodorol ac yn disgwyl ei broffil ei hun. Un gweinydd, dau ddrws, ac mae gan bob drws ei allwedd ei hun.

Nid yw estyniad y ffeil yn dweud fawr ddim wrthych, a dyna pam mae ateb y gweithredwr yn bwysicach na enw’r ffeil.

Darllenwch y gweinydd cyn cyffwrdd â bloc tystysgrif

Gofynnwch dri pheth i’r gweithredwr: pa borth a chludiant, pa ddull dilysu, a pha gleient y maent yn disgwyl i chi ei ddefnyddio. Mae’r atebion hynny’n dileu’r rhan fwyaf o’r dyfalu.

Yna cadarnhewch beth sy’n gwrando mewn gwirionedd yn hytrach na beth mae canllaw yn ei honni. Nid yw gwrandawr cydnawsedd sydd wedi’i anablu yn dangos dim ar ei borth, ac mae un sydd wedi’i alluogi yn dangos soced hyd yn oed pan nad oes neb erioed wedi cysylltu. Y gwahaniaeth rhwng porth caeedig a mewngofnodiad a wrthodwyd yw’r diagnostig defnyddiol cyntaf. Mae popeth ar ei ôl yn dibynnu ar ba ddrws y cnociwyd.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Porth UDP sy’n eisiau o’r rhestr gwrandawyr yw nodwedd anabl yn hytrach na phroblem wal dân.

Yr hyn y mae’r cleient brodorol ei angen ac na all proffil ei roi

Mae’r cleient brodorol yn gosod addasydd rhwydwaith rhithwir ac yn clymu cysylltiad wrtho. Heb yr addasydd hwnnw nid oes rhyngwyneb i lwybro drwyddo, a dyna pam y gall cysylltiad brodorol ddilysu a hynny heb gario unrhyw draffig.

Mae dilysu brodorol yn rhedeg yn erbyn canolbwynt rhithwir, gyda gwrthrych defnyddiwr a grëwyd gan weinyddwr y canolbwynt. Nid yw blociau tystysgrif a gopïwyd o broffil OpenVPN yn dod yn ddefnyddwyr canolbwynt, ac nid yw defnyddiwr canolbwynt yn dod yn dystysgrif cleient. Mae’r ddau system yn storio pethau gwahanol, ac nid oes gan broffil le i roi cofnod defnyddiwr y canolbwynt. Gwahaniaeth strwythurol yw hwn yn hytrach na phroblem gystrawen.

Cadwch yr allwedd breifat allan o unrhyw wasanaeth trosi, oherwydd rhaid trin allwedd sy’n gadael y peiriant fel un a ddatgelwyd.

Yr hyn y mae’r gwrandawr sy’n cydweddu ag OpenVPN yn ei dderbyn

Mae’r gwrandawr cydnawsedd yn weinydd OpenVPN go iawn o safbwynt y cleient: mae’n disgwyl cleient OpenVPN a’r cyfarwyddiadau y mae’r cleient hwnnw’n eu cefnogi. Mae blociau tystysgrif mewnlin yn nodwedd OpenVPN, ac maent yn perthyn i’r ochr honno o’r ffens.

Yr hyn na wnaiff yw derbyn proffil SoftEther brodorol, oherwydd nid ffurfweddiad OpenVPN yw’r proffil hwnnw. Nid yw’r gwrandawr yn troi’r cleient brodorol yn gleient OpenVPN chwaith. Os mai dim ond y gwasanaeth brodorol a gynigir gan y gweithredwr, y cleient brodorol yw’r ateb; os yw’n cynnig y gwrandawr cydnawsedd, OpenVPN a’i ddeunydd ei hun yw’r ateb.

Gofynnwch am allforiad cefnogol y gweithredwr yn hytrach na chydosod un o ddarnau, oherwydd mae’r allforiad yn cario manylion y mae ffeil a adeiladwyd â llaw yn ei golli fel arfer.

Profwch y llwybr cyn golygu cyfarwyddiadau

Wedi i’r cleient gael ei ddewis, profwch y tiwnel cyn cyffwrdd â llwybrau. Mae mewngofnodiad llwyddiannus a rhyngwyneb sy’n cario traffig yn ddau ganlyniad gwahanol.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Cymharwch y cyfeiriad a neilltuwyd â’r pwll a ddisgrifiwyd gan y gweithredwr, yna edrychwch ar lwybrau a’r datryswr ar wahân. Gall cysylltiad canolbwynt brodorol ddilysu’n lân a pheidio â gosod unrhyw lwybrau o gwbl, sy’n edrych fel tiwnel wedi torri o safbwynt y cleient. Dim ond wedi i’r tri hynny gyd-fynd y mae’n werth golygu cyfarwyddiad. Mae golygu’n gynt yn cuddio pa haen oedd yn anghywir.