Netgear OpenVPN: TUN και TAP ακούν σε διαφορετικές θύρες

Ένα τηλέφωνο συνδέεται στο VPN του δρομολογητή χωρίς παράπονο, ενώ ένα φορητό με προφίλ από την ίδια σελίδα λήψης λήγει. Τίποτα στα πιστοποιητικά δεν άλλαξε μεταξύ των δύο προσπαθειών, γιατί το φορητό δεν έφτασε ποτέ στο σημείο όπου τα πιστοποιητικά μετρούν. Ο δρομολογητής δημοσιεύει ξεχωριστούς ακροατές για TUN και TAP, και ένα προφίλ που δουλεύει πρέπει να επιλέξει αυτόν που ανήκει στον δικό του τύπο συσκευής.

Το να αποφασίσεις ποιο από τρία πιθανά σφάλματα να κυνηγήσεις είναι όλη η δουλειά εδώ: η θύρα, ο τύπος συσκευής ή η διαπραγμάτευση κρυπτογράφησης του καναλιού δεδομένων.

Τρία πράγματα που πρέπει να συμφωνούν

Ο τύπος συσκευής, η γραμμή διασύνδεσης του προφίλ και η θύρα του ακροατή σχηματίζουν μία επιλογή, όχι τρεις. Ένα προφίλ που δηλώνει dev tun και στοχεύει τον ακροατή TAP δεν μπορεί να ολοκληρώσει τη συνεδρία, και το αντίστροφο αποτυγχάνει πανομοιότυπα. Για το μοντέλο και το firmware σας, διαβάστε τη θύρα από την ίδια τη σελίδα VPN του δρομολογητή και όχι από οδηγό, γιατί οι αριθμοί μετακινούνται μεταξύ εκδόσεων. Γράψτε το μοντέλο και την έκδοση firmware δίπλα σε αυτόν τον αριθμό ώστε ο επόμενος να μπορεί να το επαληθεύσει.

Αναφορές από το πεδίο αναφέρουν ένα ζεύγος όπως 12973 για TUN και 12974 για TAP σε ένα firmware, και διαφορετικό αριθμό σε άλλο. Διαβάστε τα ως απόδειξη ότι οι εκδόσεις διαφέρουν, όχι ως σταθερές για αντιγραφή. Το προφίλ χρειάζεται τότε το κατάλληλο για την απόσταση όνομα κεντρικού υπολογιστή: το δυναμικό όνομα DNS του δρομολογητή αντί για διεύθυνση WAN που θα αλλάξει.

Αφού διορθώσετε τη θύρα και τη γραμμή διασύνδεσης, το προφίλ μοιάζει με κανονική διαμόρφωση πελάτη με μία γραμμή remote και μία γραμμή dev. Αν τα δύο διαφωνούν, καμία ποσότητα επαναλήψεων δεν παράγει συνεδρία.

Διαβάστε το αρχείο καταγραφής με τη σειρά που εκτυπώνεται

Ένας πελάτης OpenVPN αναφέρει συμβάντα με τη σειρά που συμβαίνουν, οπότε η τελευταία γραμμή πριν τη σιωπή προσδιορίζει το επίπεδο προς έλεγχο. Όταν η εκτέλεση τελειώνει σε TLS Error: TLS key negotiation failed, ή απλώς περιμένει μια πρώτη απάντηση και τα παρατά, η σύγκριση πιστοποιητικών δεν έγινε ποτέ. Αυτό δείχνει σε προσβασιμότητα, στον ακροατή ή σε θύρα που δεν έχει τίποτα πίσω της. Κανένα από αυτά δεν επισκευάζεται αντικαθιστώντας το αρχείο CA.

Μια εκτέλεση που φτάνει στο VERIFY OK και μετά αποτυγχάνει βρίσκεται εντελώς αλλού, με δικές της αιτίες. Ο διαχωρισμός αυτών των δύο εκβάσεων πριν αγγίξετε αρχεία αποτρέπει την κλασική παράκαμψη μέσα από πακέτα πιστοποιητικών που δεν ερωτήθηκαν ποτέ. Μόλις ολοκληρωθεί η χειραψία αλλά το τούνελ δεν σηκωθεί, κοιτάξτε τη διαπραγμάτευση κρυπτογράφησης αντί για την προσβασιμότητα.

Προσθέστε τη λίστα κρυπτογράφησης που περιμένει ένας σύγχρονος πελάτης

Οι πρόσφατοι πελάτες OpenVPN απορρίπτουν παλαιότερες προεπιλογές που εξακολουθεί να προσφέρει το firmware οικιακών συσκευών, και το σύμπτωμα είναι αποτυχία διαπραγμάτευσης αμέσως μετά από επιτυχή χειραψία. Η διόρθωση είναι μία γραμμή προφίλ που ονομάζει τι θα δεχτεί ο πελάτης: ορίστε το data-ciphers σε AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 και AES-128-CBC με αυτή τη σειρά. Κάθε αλγόριθμος που ο δρομολογητής δεν υλοποιεί απλώς δεν επιλέγεται ποτέ, οπότε μια μεγαλύτερη λίστα δεν κοστίζει τίποτα παρά μόνο μια ελαφρώς μεγαλύτερη διαπραγμάτευση.

Η απαρίθμηση κρυπτογραφήσεων δεν διδάσκει στον δρομολογητή μία που δεν έχει. Αν η διαπραγμάτευση εξακολουθεί να αποτυγχάνει, ελέγξτε αν η σελίδα του δρομολογητή έχει δική της ρύθμιση κρυπτογράφησης και αν αυτή η ρύθμιση περιλαμβάνει τουλάχιστον μία καταχώριση που δέχεται ο πελάτης. Δύο λίστες χωρίς κοινό μέλος παράγουν ακριβώς την ίδια αποτυχία με λάθος θύρα, γι' αυτό και τα δύο άκρα αξίζουν μια ματιά.

Εισαγάγετε μία φορά αντί να επεξεργάζεστε αντίγραφα με το χέρι

Η εισαγωγή του διορθωμένου αρχείου στο NetworkManager αποφεύγει έναν φάκελο γεμάτο ελαφρώς διαφορετικά προφίλ: nmcli connection import type openvpn file client.ovpn, μετά ενεργοποιήστε το με το όνομα. Κρατήστε το εισαγμένο προφίλ ως το μόνο αντίγραφο που επεξεργάζεστε, και διαγράψτε τα διπλότυπα που συσσωρεύονται από επαναλαμβανόμενες λήψεις.

Έπειτα δοκιμάστε από έξω από το LAN. Η σύνδεση από το ίδιο δίκτυο αποδεικνύει ελάχιστα, γιατί η κίνηση μπορεί να μην περάσει ποτέ από το τούνελ. Επιβεβαιώστε ότι ένα αίτημα φεύγει πραγματικά μέσω του δρομολογητή, όχι μόνο ότι ο πελάτης δείχνει κατάσταση συνδεδεμένη.

Αποφασίστε τι θα κάνετε με τις προειδοποιήσεις

Το firmware οικιακών συσκευών συνήθως κόβει τη δική του αρχή πιστοποιητικών, και οι πελάτες διαμαρτύρονται για την επαλήθευση με τρόπους που το firmware δεν μπορεί να καταστείλει. Κρίνετε αν αυτή η διαμαρτυρία μετράει για αυτό που προστατεύετε αντί να θεωρείτε κάθε προειδοποίηση μοιραία, και μην απενεργοποιείτε την επαλήθευση συνολικά για να σιγάσετε ένα μήνυμα. Μια προειδοποίηση που αξιολογήσατε είναι τεκμηριωμένος κίνδυνος· μια ρύθμιση επαλήθευσης που απενεργοποιήσατε είναι ατεκμηρίωτη.

Όταν το firmware δεν παρέχει υποστηριζόμενο τρόπο να διορθώσετε μια προειδοποίηση που πράγματι μετράει, αυτό το κενό επιχειρηματολογεί υπέρ της φιλοξενίας του VPN αλλού. Η επιλογή ανάμεσα στην επισκευή του προφίλ, την αποδοχή της προειδοποίησης και τη μετακίνηση του τελικού σημείου είναι απόφαση για το πόσο εμπιστεύεστε αυτό το πιστοποιητικό. Πάρτε την σκόπιμα και γράψτε ποια επιλογή διαλέξατε, αντί να κλικάρετε διαλόγους μέχρι το εικονίδιο να γίνει πράσινο.