Miks OpenVPN-i profiil ei impordi SoftEtherisse

Kaks faili, mis mõlemad näevad välja nagu VPN-i konfiguratsioon, satuvad samasse kausta ja ainult üks neist töötab. OpenVPN-i profiil kirjeldab TLS-i tunnelit direktiividega, millest see klient aru saab, samas kui SoftEtheri ühendus kirjeldab sessiooni virtuaalse jaoturi vastu teistsuguse autentimislepinguga. Ühe teiseks teisendamine ei ole vormindamise harjutus, sest kaks klienti ei rakenda sama protokolli. See, millise teenuse operaator tegelikult avaldas, otsustab kõik järgneva.

Kaks faili, kaks lepingut

OpenVPN-i profiil on kliendi konfiguratsioon: kauglõpp-punkt, transport, TLS-i materjal ja direktiivid marsruutimiseks ning uuesti läbirääkimiseks. SoftEtheri ühendus on natiivne kliendisessioon virtuaalse jaoturi vastu, millele on kinnitatud virtuaalne adapter.

Need võivad kirjeldada juurdepääsu samale võrgule, olemata vahetatavad. OpenVPN-i kuular on ühilduvusfunktsioon, mille server võib avaldada eraldi pordil, ja see räägib OpenVPN natiivse protokolli asemel. Natiivne klient räägib natiivset protokolli ja ootab oma profiili. Üks server, kaks ust ja igal uksel on oma võti.

Faililaiend ei ütle teile peaaegu midagi, seepärast on operaatori vastus tähtsam kui faili nimi.

Lugege serverit enne, kui puudutate sertifikaadi plokki

Küsige operaatorilt kolme asja: milline port ja transport, milline autentimismeetod ja millist klienti te kasutama peaksite. Need vastused kõrvaldavad suurema osa oletustest.

Seejärel kinnitage, mis tegelikult kuulab, mitte mida juhend väidab. Väljalülitatud ühilduvuskuular ei näita oma pordil midagi, ja sisselülitatud näitab pistikut ka siis, kui keegi pole kunagi ühendust loonud. Suletud pordi ja tagasilükatud sisselogimise vahe on esimene kasulik diagnostika. Kõik pärast seda sõltub sellest, millisele uksele koputati.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Kuularite loendist puuduv UDP-port tähendab väljalülitatud funktsiooni, mitte tulemüüri probleemi.

Mida natiivne klient vajab ja mida profiil talle anda ei saa

Natiivne klient paigaldab virtuaalse võrguadapteri ja seob ühenduse sellega. Ilma selle adapterita pole liidest, mille kaudu marsruutida, mistõttu natiivne ühendus võib autentida ja ikkagi mitte liiklust kanda.

Natiivne autentimine toimub virtuaalse jaoturi vastu, kasutajaobjektiga, mille jaoturi administraator lõi. OpenVPN-i profiilist kopeeritud sertifikaadiplokid ei muutu jaoturi kasutajateks ja jaoturi kasutaja ei muutu kliendi sertifikaadiks. Kaks süsteemi säilitavad erinevaid asju ja profiilil pole kohta, kuhu jaoturi kasutajakirje panna. See on struktuurne erinevus, mitte süntaksiprobleem.

Hoidke privaatvõti igast teisendusteenusest eemal, sest masinast lahkunud võtit tuleb käsitleda paljastatuna.

Mida OpenVPN-iga ühilduv kuular vastu võtab

Ühilduvuskuular on kliendi vaatepunktist tõeline OpenVPN-i server: see ootab OpenVPN-i klienti ja direktiive, mida see klient toetab. Reasisene sertifikaadiplokk on OpenVPN-i funktsioon ja kuulub aia sellele küljele.

Mida see ei tee, on natiivse SoftEtheri profiili vastuvõtmine, sest see profiil ei ole OpenVPN-i konfiguratsioon. Kuular ei muuda ka natiivset klienti OpenVPN-i kliendiks. Kui operaator pakub ainult natiivset teenust, on vastus natiivne klient; kui ta pakub ühilduvuskuularit, on vastus OpenVPN ja selle oma materjal.

Küsige operaatori toetatud eksporti selle asemel, et seda tükkidest kokku panna, sest eksport kannab üksikasju, mille käsitsi ehitatud fail tavaliselt vahele jätab.

Tõestage tee enne direktiivide muutmist

Kui klient on valitud, testige tunnelit enne marsruutide puudutamist. Õnnestunud sisselogimine ja liiklust kandev liides on kaks erinevat tulemust.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Võrrelge määratud aadressi operaatori kirjeldatud reserviga, seejärel vaadake marsruute ja resolverit eraldi. Natiivne jaoturiühendus võib puhtalt autentida ja üldse marsruute mitte paigaldada, mis kliendi poolelt näeb välja nagu katkine tunnel. Alles siis, kui need kolm ühtivad, tasub direktiivi muuta. Varasem muutmine varjab, milline kiht oli vale.