Ĉu la OpenVPN 2.5 aŭskultanto en DD-WRT mortis? Legu la generitan agordon

Morta aŭskultanto en DD-WRT kutime signifas, ke la demono finiĝis dum analizado de sia agordo, ne ke fajroŝirmila regulo blokis la pordon. OpenVPN 2.5 plifortigis plurajn defaŭltajn valorojn, kiujn pli malnovaj agordoj fidis, kaj generita agordo, kiu funkciis en pli malnova versio, povas esti malakceptita antaŭ ol la ingo eĉ malfermiĝos. La kaŭzo estas en la propra protokolo de la enkursigilo, kaj la enigo estas en la generita dosiero. Legi ambaŭ en tiu ordo estas pli rapide ol ajna paketa kaptado.

La demono ne estas la fajroŝirmilo

La distingo gravas ĉar la du fiaskoj aspektas idente de ekstere: kliento sendas manpremon kaj ricevas nenion. Unu estas procezo, kiu ne funkcias, kaj la alia estas procezo, kiu funkcias kaj filtras.

Apartigu ilin per du kontroloj antaŭ ol ŝanĝi ion ajn, ĉar fajroŝirmila redakto ĉe morta demono nur aldonas duan variablon.

Legu la agordon, kiun DD-WRT generis

DD-WRT ne donas al OpenVPN la tekston, kiun vi tajpis en la retan interfacon. Ĝi skribas generitan agordon al /tmp/openvpn/openvpn.conf kaj startigas la demonon kun tiu dosiero, do la kampoj de la interfaco kaj ajna teksto en Additional Config kuniĝas antaŭ ol OpenVPN vidas ilin. Se vi sencimigas la formularon anstataŭ la generitan dosieron, vi legas intencon anstataŭ la faktan enigon. Kopiu tiun dosieron al daŭra loko antaŭ ol restarto /tmp malplenigos.

Komparu la generitan dosieron kun tio, kion vi intencis, precipe tie, kie la interfaco skribas direktivon, kiun vi neniam elektis. Falmenuo, kiu elsendas malaktualan opcion, estas nevidebla en la formularo kaj mortiga por la demono.

Se la generita dosiero estas malplena aŭ mankas, la demono eĉ ne atingis la starton, kaj la problemo troviĝas antaŭ OpenVPN.

Kion OpenVPN 2.5 ĉesis akcepti

OpenVPN 2.5 anstataŭigis ncp-ciphers per data-ciphers, kaj ĝi altigis la defaŭltan minimuman TLS-version al 1.2. Ĝi ankaŭ ŝanĝis la traktadon de kunpremado, tiel ke samtavolano, kiu proponas kunpremadon, estas malakceptata krom se la agordo eksplicite permesas ĝin, kaj ĝi markis kiel malaktualaj pli malnovajn opciajn nomojn kiel ns-cert-type favore al remote-cert-tls. Ĉiu el tiuj ŝanĝoj transformas antaŭe funkciintan agordon en fiaskon de analizado aŭ intertraktado.

La fiaskmaniero dependas de la direktivo. Nekonata aŭ forigita opcio haltigas la demonon ĉe starto, tio estas via morta aŭskultanto. Miskongruo de intertraktado lasas la demonon funkcii kaj malakceptas klientojn, kio de la klientsa flanko aspektas kiel fajroŝirmila problemo.

Legu la unuan eraron en la protokolo, ne la lastan. Analizado haltas ĉe la unua malbona direktivo, kaj ĉio poste estas bruo de la malŝalto.

La antaŭkondiĉoj specifaj por Broadcom

En Broadcom-versioj la tunela aparato devas ekzisti antaŭ ol la demono povas uzi ĝin. Kontrolu, ke la modulo tun estas ŝargita kaj ke /dev/net/tun ĉeestas, ĉar mankanta aparato kaŭzas startofiaskon, kiu havas nenion komunan kun atestiloj. La sama validas por la helpaj skriptoj, kiujn DD-WRT generas por itineroj kaj DNS: se ili mankas aŭ ne estas plenumeblaj, la demono povas starti kaj tamen ne fini sian agordon.

Lanĉu la demonon en la antaŭplano kun pli alta detalebleco super la generita agordo, kiam vi bezonas la veran mesaĝon. Antaŭplana lanĉo presas la analizan eraron, kiun la init-skripto engluts.

Poste restarigu la normalan servon, ĉar antaŭplana demono kaj la init-skripto konfliktos pri la pordo.

Pruvu, ke la aŭskultanto ekzistas, antaŭ ol sencimigi klientojn

Konfirmu la procezon kaj la ingon aparte: unu komando por la kuranta demono, alia por ligita UDP-pordo ĉe la atendata adreso. Procezo sen ingo signifas, ke ĝi ankoraŭ estas en agordo aŭ ligita al la malĝusta interfaco. La paro estas utila testo ĝuste ĉar unu duono ne povas esti vera sen la alia.

Sencimigado ĉe la klienta flanko havas sencon nur post kiam la aŭskultanto ekzistas. Tiam kontrolu, ke la ĉifro kaj TLS-agordoj de la kliento kongruas kun la listo data-ciphers de la servilo kaj ties minimuma versio, kaj ke la pordo vere plusendas al la enkursigilo.

Konservu la generitan agordon kaj la protokolan linion, kiu pruvis la riparon. La sekva firmvara ĝisdatigo povas denove ŝanĝi la defaŭltojn, kaj tiu registro estas tio, kio transformas ripeton en kvinminutan kontrolon.