Lässt sich eine WireGuard-Konfiguration in OpenVPN umwandeln?

Sie haben eine wg0.conf und einen Client, der nur .ovpn akzeptiert, also schlägt jemand vor, die Datei umzuwandeln. Umbenennen erzeugt ein Profil, das OpenVPN nicht parsen kann, und eine sorgfältige Übersetzung Feld für Feld erzeugt eines, das parst und dann beim Handshake scheitert. Der Grund ist nicht das Dateiformat. WireGuard und OpenVPN sind verschiedene Protokolle mit unterschiedlichen Handshakes, unterschiedlichen Authentifizierungsmodellen und unterschiedlichen Vorstellungen davon, was ein Peer ist. Umwandlung funktioniert nur in dem Sinn, dass Sie sich ein OpenVPN-Profil bei dem besorgen, der die Gegenseite betreibt.

Die Datei, die Sie haben, beschreibt einen Peer, kein Verbindungsprofil

Eine WireGuard-Konfiguration ist kurz, weil das Protokoll es ist: ein Interface mit privatem Schlüssel und Adressen, dann ein oder mehrere Peers mit öffentlichem Schlüssel, einem Endpoint und einer AllowedIPs-Liste. Es gibt keine Aushandlungsschicht zu konfigurieren und keine Cipher Suite zu wählen.

Ein OpenVPN-Profil ist ein Client für einen TLS-basierten Steuerkanal, deshalb enthält es Zertifikat- oder Anmeldedatenverweise und Anweisungen, wie authentifiziert wird.

Warum eine übersetzte Datei am Handshake scheitert

WireGuard beginnt mit einem Noise-basierten Handshake, verschlüsselt mit statischen Peer-Schlüsseln, und bleibt stumm, solange der öffentliche Schlüssel des Peers nicht bekannt ist. OpenVPN öffnet eine TLS-Sitzung, prüft ein Serverzertifikat oder einen statischen Schlüssel und authentifiziert dann den Benutzer mit Zertifikaten, Benutzername und Passwort oder beidem. Nichts in einer WireGuard-Datei beschreibt das. Eine übersetzte Datei hätte den richtigen Endpoint und sonst alles falsch.

Adresse und Port wiederzuverwenden hilft ebenfalls nicht, weil die Gegenseite auf ein anderes Paket wartet.

Was Sie beim Anbieter fragen sollten

Wenn ein Anbieter die WireGuard-Datei geliefert hat, fragen Sie, ob dasselbe Konto OpenVPN-Zugang hat, und fordern Sie dieses Profil an. Viele haben ihn, und es kommt mit eigenen Anmeldedaten statt als abgewandelte Kopie der ersten.

Ist die Antwort nein, liegt die Einschränkung am Abonnement und nicht an der Datei, und kein Konverter ändert das.

Wenn der Router oder Client nur OpenVPN spricht

Wenn das Gerät, das sich verbinden muss, nur OpenVPN unterstützt, prüfen Sie die dokumentierte Protokollunterstützung der Gegenseite, bevor Sie nach einer anderen Erweiterung suchen. Ein Router, der OpenVPN terminiert, lässt sich nicht durch Importieren einer Datei dazu bringen, WireGuard zu akzeptieren. Praktikable Optionen sind ein OpenVPN-Endpoint auf der Serverseite oder ein anderes Gerät, das WireGuard spricht.

Entscheiden Sie danach, wer die Gegenseite administriert, nicht danach, welche Datei Sie zufällig haben.

Wenn Sie den Server betreiben, fügen Sie das Protokoll hinzu

Ein zweites Protokoll zu unterstützen heißt, einen zweiten Dienst zu betreiben. Auf einem Linux-Server ist das eine OpenVPN-Instanz mit eigener CA, Serverzertifikat, Clientzertifikaten und den Direktiven server und push, dazu eine Firewall-Regel für ihren Port. Der bestehende WireGuard-Peer-Eintrag beschreibt keines dieser Objekte. Planen Sie den Adresspool und die gepushten Routen getrennt von den WireGuard-AllowedIPs, denn sie sind nicht derselbe Mechanismus unter zwei Namen.

Prüfen Sie dann vom Client aus: das Profil lädt, die TLS-Sitzung kommt zustande, die gepushte Route erscheint und der Verkehr erreicht einen Host, der nur über den Tunnel erreichbar ist.

Wo die Konverter-Idee sicher ist

Werte von Hand in Notizen zu übertragen ist in Ordnung und oft nützlich, weil Endpoint, Adressen und öffentlicher Peer-Schlüssel nur Fakten über die Bereitstellung sind. Einen privaten Schlüssel auf eine Website hochzuladen, die Umwandlung verspricht, ist nicht in Ordnung, denn dieser Schlüssel ist Ihr Anmeldedatum und der Dienst hat kein Protokoll, in das er ihn umwandeln könnte. Brauchen Sie denselben Zugang von einem OpenVPN-Client, fordern Sie stattdessen OpenVPN-Anmeldedaten an.

Halten Sie beide Konfigurationen nebeneinander und behandeln Sie sie als getrennte Zugangswege, denn das sind sie.