Γιατί ένα προφίλ OpenVPN δεν εισάγεται στο SoftEther

Δύο αρχεία που μοιάζουν και τα δύο με διαμόρφωση VPN καταλήγουν στον ίδιο φάκελο και μόνο ένα από αυτά λειτουργεί. Το προφίλ OpenVPN περιγράφει ένα τούνελ TLS με οδηγίες που καταλαβαίνει αυτός ο πελάτης, ενώ μια σύνδεση SoftEther περιγράφει μια συνεδρία προς έναν εικονικό κόμβο με διαφορετικό συμβόλαιο ταυτοποίησης. Η μετατροπή του ενός στο άλλο δεν είναι άσκηση μορφοποίησης, επειδή οι δύο πελάτες δεν υλοποιούν το ίδιο πρωτόκολλο. Το ποια υπηρεσία δημοσίευσε πραγματικά ο διαχειριστής καθορίζει όλα όσα ακολουθούν.

Δύο αρχεία, δύο συμβόλαια

Ένα προφίλ OpenVPN είναι διαμόρφωση πελάτη: ένα απομακρυσμένο τελικό σημείο, ένα μεταφορικό μέσο, υλικό TLS και οδηγίες για δρομολόγηση και εκ νέου διαπραγμάτευση. Μια σύνδεση SoftEther είναι εγγενής συνεδρία πελάτη προς έναν εικονικό κόμβο, με έναν εικονικό προσαρμογέα συνδεδεμένο πάνω της.

Μπορούν να περιγράφουν πρόσβαση στο ίδιο δίκτυο χωρίς να είναι εναλλάξιμα. Ο ακροατής OpenVPN είναι λειτουργία συμβατότητας που ο διακομιστής μπορεί να δημοσιεύσει σε ξεχωριστή θύρα και μιλά OpenVPN αντί για το εγγενές πρωτόκολλο. Ο εγγενής πελάτης μιλά το εγγενές πρωτόκολλο και περιμένει το δικό του προφίλ. Ένας διακομιστής, δύο πόρτες, και κάθε πόρτα έχει το δικό της κλειδί.

Η επέκταση του αρχείου δεν σας λέει σχεδόν τίποτα, γι’ αυτό η απάντηση του διαχειριστή μετράει περισσότερο από το όνομα του αρχείου.

Διαβάστε τον διακομιστή πριν αγγίξετε ένα μπλοκ πιστοποιητικού

Ρωτήστε τον διαχειριστή τρία πράγματα: ποια θύρα και ποιο μεταφορικό μέσο, ποια μέθοδος ταυτοποίησης και ποιον πελάτη περιμένει να χρησιμοποιήσετε. Αυτές οι απαντήσεις αφαιρούν το μεγαλύτερο μέρος της εικασίας.

Στη συνέχεια επιβεβαιώστε τι ακούει πραγματικά και όχι τι ισχυρίζεται ένας οδηγός. Ένας απενεργοποιημένος ακροατής συμβατότητας δεν δείχνει τίποτα στη θύρα του, και ένας ενεργοποιημένος δείχνει μια υποδοχή ακόμη και όταν κανείς δεν έχει συνδεθεί ποτέ. Η διαφορά ανάμεσα σε κλειστή θύρα και σε απορριφθείσα σύνδεση είναι το πρώτο χρήσιμο διαγνωστικό. Όλα μετά από αυτό εξαρτώνται από το σε ποια πόρτα χτύπησε κάποιος.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Μια θύρα UDP που λείπει από τη λίστα ακροατών είναι απενεργοποιημένη λειτουργία και όχι πρόβλημα τείχους προστασίας.

Τι χρειάζεται ο εγγενής πελάτης και δεν μπορεί να του δώσει ένα προφίλ

Ο εγγενής πελάτης εγκαθιστά έναν εικονικό προσαρμογέα δικτύου και δεσμεύει μια σύνδεση πάνω του. Χωρίς αυτόν τον προσαρμογέα δεν υπάρχει διεπαφή για δρομολόγηση, γι’ αυτό μια εγγενής σύνδεση μπορεί να ταυτοποιηθεί και παρόλα αυτά να μη μεταφέρει καθόλου κίνηση.

Η εγγενής ταυτοποίηση εκτελείται προς έναν εικονικό κόμβο, με ένα αντικείμενο χρήστη που δημιούργησε ο διαχειριστής του κόμβου. Μπλοκ πιστοποιητικών που αντιγράφηκαν από προφίλ OpenVPN δεν γίνονται χρήστες κόμβου, και ένας χρήστης κόμβου δεν γίνεται πιστοποιητικό πελάτη. Τα δύο συστήματα αποθηκεύουν διαφορετικά πράγματα, και ένα προφίλ δεν έχει πού να βάλει την εγγραφή χρήστη του κόμβου. Αυτή είναι δομική διαφορά και όχι πρόβλημα σύνταξης.

Κρατήστε το ιδιωτικό κλειδί έξω από κάθε υπηρεσία μετατροπής, επειδή ένα κλειδί που φεύγει από το μηχάνημα πρέπει να θεωρείται εκτεθειμένο.

Τι δέχεται ο ακροατής συμβατός με OpenVPN

Ο ακροατής συμβατότητας είναι πραγματικός διακομιστής OpenVPN από τη σκοπιά του πελάτη: περιμένει πελάτη OpenVPN και τις οδηγίες που υποστηρίζει αυτός ο πελάτης. Τα ενσωματωμένα μπλοκ πιστοποιητικών είναι λειτουργία του OpenVPN και ανήκουν σε εκείνη την πλευρά του φράχτη.

Αυτό που δεν θα κάνει είναι να δεχτεί ένα εγγενές προφίλ SoftEther, επειδή αυτό το προφίλ δεν είναι διαμόρφωση OpenVPN. Ο ακροατής δεν μετατρέπει ούτε τον εγγενή πελάτη σε πελάτη OpenVPN. Αν ο διαχειριστής προσφέρει μόνο την εγγενή υπηρεσία, η απάντηση είναι ο εγγενής πελάτης· αν προσφέρει τον ακροατή συμβατότητας, η απάντηση είναι το OpenVPN και το δικό του υλικό.

Ζητήστε την υποστηριζόμενη εξαγωγή του διαχειριστή αντί να συναρμολογήσετε μία από θραύσματα, αφού η εξαγωγή κουβαλά λεπτομέρειες που ένα χειροποίητο αρχείο συνήθως χάνει.

Αποδείξτε τη διαδρομή πριν επεξεργαστείτε οδηγίες

Μόλις επιλεγεί ο πελάτης, δοκιμάστε το τούνελ πριν αγγίξετε διαδρομές. Μια επιτυχής σύνδεση και μια διεπαφή που μεταφέρει κίνηση είναι δύο διαφορετικά αποτελέσματα.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Συγκρίνετε τη διεύθυνση που εκχωρήθηκε με τη δεξαμενή που περιέγραψε ο διαχειριστής, και μετά κοιτάξτε ξεχωριστά τις διαδρομές και τον επιλυτή. Μια εγγενής σύνδεση με κόμβο μπορεί να ταυτοποιηθεί καθαρά και να μην εγκαταστήσει καθόλου διαδρομές, κάτι που από την πλευρά του πελάτη μοιάζει με σπασμένο τούνελ. Μόνο όταν αυτά τα τρία συμφωνήσουν αξίζει να επεξεργαστείτε μια οδηγία. Η πρόωρη επεξεργασία κρύβει ποιο επίπεδο ήταν λάθος.