DD-WRT OpenVPN 2.5 kuulaja on surnud? Lugege loodud konfiguratsiooni

Surnud kuulaja DD-WRT-s tähendab tavaliselt, et deemon väljus oma konfiguratsiooni sõelumise ajal, mitte et tulemüüri reegel blokeeris pordi. OpenVPN 2.5 karmistas mitut vaikeväärtust, millele vanemad konfiguratsioonid tuginesid, ja loodud konfiguratsioon, mis töötas vanemas versioonis, võidakse tagasi lükata enne, kui pesa üldse avaneb. Põhjus on ruuteri enda logis ja sisend loodud failis. Mõlema lugemine selles järjekorras on kiirem kui ükskõik milline paketipüük.

Deemon ei ole tulemüür

Vahe on oluline, sest väljastpoolt näevad mõlemad tõrked ühesugused: klient saadab kätluse ja ei saa midagi tagasi. Üks on protsess, mis ei tööta, ja teine on protsess, mis töötab ja filtreerib.

Eraldage need kahe kontrolliga enne, kui midagi muudate, sest tulemüüri muudatus surnud deemonil lisab lihtsalt teise muutuja.

Lugege konfiguratsiooni, mille DD-WRT lõi

DD-WRT ei anna OpenVPN-ile teksti, mille te veebiliidesesse tipitasite. See kirjutab loodud konfiguratsiooni asukohta /tmp/openvpn/openvpn.conf ja käivitab deemon selle failiga, nii et liidese väljad ja igasugune Additional Config tekst ühendatakse enne, kui OpenVPN neid üldse näeb. Kui silute vormi, mitte loodud faili, loete kavatsust, mitte tegelikku sisendit. Kopeerige see fail püsivasse kohta, enne kui taaskäivitus /tmp tühjendab.

Võrrelge loodud faili sellega, mida kavatsesite, eriti seal, kus liides kirjutab direktiivi, mida te kunagi ei valinud. Rippmenüü, mis väljastab vananenud valiku, on vormis nähtamatu ja deemonile saatuslik.

Kui loodud fail on tühi või puudub, ei jõudnud deemon üldse käivitumiseni ja probleem on OpenVPN-ist eespool.

Mida OpenVPN 2.5 enam vastu ei võta

OpenVPN 2.5 asendas ncp-ciphers valikuga data-ciphers, ja tõstis vaikimisi minimaalse TLS-versiooni 1.2-ni. See muutis ka tihendamise käsitlemist, nii et tihendamist pakkuv partner lükatakse tagasi, kui konfiguratsioon seda otseselt ei luba, ning see märkis vananenuteks vanemad valikunimed nagu ns-cert-type asemel remote-cert-tls. Iga see muudatus muudab varem töötanud konfiguratsiooni sõelumis- või läbirääkimistõrkeks.

Tõrkerežiim sõltub direktiivist. Tundmatu või eemaldatud valik peatab deemon käivitamisel, see on teie surnud kuulaja. Läbirääkimiste lahknevus laseb deemon töötada ja lükkab kliendid tagasi, mis kliendi poolelt näeb välja nagu tulemüüri probleem.

Lugege logis esimest viga, mitte viimast. Sõelumine peatub esimese halva direktiivi juures ja kõik pärast seda on seiskamise müra.

Broadcomi-põhised eeldused

Broadcomi versioonides peab tunneliseade olema olemas enne, kui deemon saab seda kasutada. Kontrollige, et tun-moodul on laaditud ja et /dev/net/tun on olemas, sest puuduv seade tekitab käivitustõrke, millel pole sertifikaatidega mingit seost. Sama kehtib abiskriptide kohta, mille DD-WRT marsruutide ja DNS-i jaoks loob: kui need puuduvad või pole käivitatavad, võib deemon käivituda ja ikkagi oma seadistust mitte lõpetada.

Käivitage deemon esiplaanil suurema detailsusega loodud konfiguratsiooni vastu, kui vajate tegelikku sõnumit. Esiplaanil käivitamine trükib sõelumisvea, mille init-skript alla neelas.

Seejärel taastage tavaline teenus, sest esiplaanil olev deemon ja init-skript hakkavad pordi pärast kaklema.

Tõestage, et kuulaja on olemas, enne kui kliente silute

Kinnitage protsess ja pesa eraldi: üks käsk töötava deemoni jaoks, teine oodatud aadressil seotud UDP-pordi jaoks. Protsess ilma pesata tähendab, et see on veel seadistamisel või seotud vale liidesega. See paar on kasulik test just seepärast, et üks pool ei saa olla tõsi ilma teiseta.

Kliendipoolne silumine on mõttekas alles pärast seda, kui kuulaja on olemas. Siis kontrollige, et kliendi šifr ja TLS-i seaded vastavad serveri data-ciphers loendile ja miinimumversioonile ning et port on tõesti ruuterile edasi suunatud.

Hoidke loodud konfiguratsioon ja logirida, mis paranduse tõestas. Järgmine püsivara uuendus võib vaikeväärtusi jälle muuta ja just see kirje muudab kordamise viieminutiliseks kontrolliks.