Netgear OpenVPN: TUN ja TAP kuulavad erinevatel portidel

Telefon ühendub ruuteri VPN-iga ilma kaebuseta, samalt allalaadimislehelt profiili kasutav sülearvuti aegub aga ära. Sertifikaatidega ei muutunud nende kahe katse vahel midagi, sest sülearvuti ei jõudnud kunagi punkti, kus sertifikaadid loevad. Ruuter avaldab TUN-i ja TAP-i jaoks eraldi kuulajad ning töötav profiil peab valima selle, mis kuulub tema enda seadmetüübi juurde.

Otsustada, millist kolmest võimalikust veast jälitada, on siin kogu töö: port, seadmetüüp või andmekanali šifri läbirääkimine.

Kolm asja, mis peavad kokku sobima

Seadmetüüp, profiili liidese rida ja kuulaja port moodustavad ühe valiku, mitte kolm. Profiil, mis deklareerib dev tun ja sihib TAP-i kuulajat, ei saa seanssi lõpule viia, ja vastupidi ebaõnnestub see samamoodi. Oma mudeli ja püsivara jaoks lugege porti ruuteri enda VPN-lehelt, mitte juhendist, sest numbrid liiguvad versioonide vahel. Kirjutage mudel ja püsivara versioon selle numbri kõrvale, et järgmine inimene saaks seda kontrollida.

Välitööde aruanded mainivad paari nagu 12973 TUN-i ja 12974 TAP-i jaoks ühel püsivaral ning teistsugust numbrit teisel. Lugege neid tõendina, et versioonid erinevad, mitte kopeeritavate konstantidena. Seejärel vajab profiil kaugusele sobivat hostinime: ruuteri dünaamilist DNS-nime, mitte WAN-aadressi, mis muutub.

Pärast pordi ja liidese rea parandamist näeb profiil välja nagu tavaline kliendi konfiguratsioon, milles on üks remote-rida ja üks dev-rida. Kui need kaks ei ühti, ei anna ükski kordamine seanssi.

Lugege logi selles järjekorras, milles see trükitakse

OpenVPN klient teatab sündmustest nende toimumise järjekorras, seega määrab vaikuse eel viimane rida kontrollitava kihi. Kui käivitus lõpeb realt TLS Error: TLS key negotiation failed või lihtsalt ootab esimest vastust ja annab alla, ei toimunud sertifikaatide võrdlemist kunagi. See viitab kättesaadavusele, kuulajale või pordile, mille taga pole midagi. Ükski neist ei parane CA-faili asendamisega.

Käivitus, mis jõuab reani VERIFY OK ja seejärel ebaõnnestub, asub hoopis mujal, omaenda põhjustega. Nende kahe tulemuse eristamine enne failide puutumist hoiab ära klassikalise ümbersõidu sertifikaadipakettide kaudu, millelt pole kunagi küsitud. Kui käepigistus on lõppenud, aga tunnel ei tõuse, vaadake šifri läbirääkimist, mitte kättesaadavust.

Lisage šifrite loend, mida kaasaegne klient ootab

Viimased OpenVPN kliendid keelduvad vanematest vaikeväärtustest, mida tarbija-püsivara ikka veel pakub, ja sümptomiks on läbirääkimise ebaõnnestumine kohe pärast edukat käepigistust. Parandus on üks profiilirida, mis nimetab, mida klient aktsepteerib: seadke data-ciphers väärtusele AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 ja AES-128-CBC selles järjekorras. Ükskõik millist algoritmi ruuter ei rakenda, ei valita lihtsalt kunagi, seega pikem loend ei maksa midagi peale veidi pikema läbirääkimise.

Šifrite loetlemine ei õpeta ruuterile seda, mida tal pole. Kui läbirääkimine ikka ebaõnnestub, kontrollige, kas ruuteri lehel on oma šifriseade ja kas see seade sisaldab vähemalt üht kirjet, mida klient aktsepteerib. Kaks loendit ilma ühise liikmeta annavad täpselt sama tõrke nagu vale port, mistõttu väärib mõlem pool pilku.

Importige üks kord, mitte ärge toimetage koopiaid käsitsi

Parandatud faili importimine NetworkManagerisse väldib kausta, mis on täis veidi erinevaid profiile: nmcli connection import type openvpn file client.ovpn, seejärel tõstke see nime järgi üles. Hoidke imporditud profiili ainsa koopiana, mida toimetate, ja kustutage duplikaadid, mis korduvatest allalaadimistest kogunevad.

Seejärel testige väljastpoolt LAN-i. Samast võrgust ühendamine tõestab väga vähe, sest liiklus ei pruugi tunnelist üldse läbi minna. Kinnitage, et päring tõesti väljub ruuteri kaudu, mitte ainult et klient näitab ühendatud olekut.

Otsustage, mida hoiatustega teha

Tarbija-püsivara vermib tavaliselt oma sertifitseerimisasutuse ja kliendid kurdavad kontrollimise üle viisil, mida püsivara ei suuda maha suruda. Hinnake, kas see kaebus loeb selle jaoks, mida kaitsete, selle asemel et pidada iga hoiatust surmavaks, ja ärge lülitage kontrollimist ülemaailmselt välja, et ühte teadet vaigistada. Hinnatud hoiatus on dokumenteeritud risk; väljalülitatud kontrolliseade on dokumenteerimata.

Kui püsivara ei paku toetatud viisi tõeliselt olulise hoiatuse parandamiseks, räägib see lünk VPN-i mujal majutamise kasuks. Valik profiili parandamise, hoiatuse aktsepteerimise ja lõpp-punkti teisaldamise vahel on otsus selle kohta, kui palju te seda sertifikaati usaldate. Tehke see teadlikult ja kirjutage üles, millise valiku tegite, selle asemel et klõpsata dialoogidest läbi, kuni ikoon muutub roheliseks.