Zein OpenVPN instantziak erabiltzen du benetan zure PiVPN profila?

PiVPNek zerbitzari konfigurazioa eta bezeroaren profila idazten ditu, eta gero irteten da; ez da inoiz zure trafikoa eramaten duen prozesua bihurtzen. Beraz, huts egindako esku-uzketa bat, amaiera-puntu okerra markatzen duen bezero bat edo berrabiaraztearen ondoren gaizki itzultzen den zerbitzu bat ezin dira instalatzailearen menuetatik azaldu. Sintoma horiek orain exekutatzen ari den OpenVPN deabruarena dira, deabru horrek benetan kargatu zuen konfigurazioarena eta hari seinalatu zitzaion erregistroarena. Irakurtzeko soilik diren lau komandok argitzen dute normalean, eta batek ere ez ditu zure ziurtagiriak edo gakoak aldatzen.

Laguntzailea eta deabrua objektu desberdinak dira

Anbiguotasuna erraz azaltzen da: direktorio batek laguntzaileak sortutako fitxategia, deabruak irakurtzen duen fitxategia eta batzuetan bien kopia zaharkitua gordetzen ditu. Laguntzailea hornikuntza-script bat da. Paketeak instalatzen ditu, unitate-fitxategiak idazten ditu eta bezero-profil bat inprimatzen du, eta gero haren lana amaitzen da. Geratzen dena zerbitzu-kudeatzailearen erregistro bat eta komando-lerro bat da.

systemd ostalari batean, hasi unitate aktiboa direktorioaren zerrendaren ordez. Izena paketatzearen araberakoa da: Debian eta Raspberry Pi OS irudiek sarritan plantilla-instantzia bat erakusten dute, hala nola openvpn-server@server, instalazio zaharragoek berriz openvpn@server erabiltzen dute. Galdetu kudeatzaileari zein exekutatzen ari den, fitxategi-izen batetik asmatu beharrean.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Irakurri ExecStart= irteera horretan. Exekutagarria eta kudeatzaileak benetan abiarazten dituen aukerak izendatzen ditu, edozein --config bide barne; inguruan dagoen eta inongo komandok erreferentziarik egiten ez dion konfigurazio-fitxategi bat ez da martxan dagoen tunelaren parte.

Jarraitu deabruak ebatzitako konfigurazio kateari

OpenVPN ez da ezarpenen bila direktorio batean sartzen. Honako hau irakurtzen du: --config aukerarekin pasatzen zaion fitxategia, eta barruko config direktiba guztiei jarraitzen die, eta gero komando-lerroko aukerak aplikatzen ditu. Eskuliburuak 2.6 ordena hori deskribatzen du, eta garrantzitsua da bi fitxategi portuan, gailuan edo zifratzean ados ez daudenean.

Lehenik dei efektiboa bota, eta gero identitatea eta irisgarritasuna erabakitzen dituzten direktibak begiratu. Bi komandoak irakurtzeko soilik dira eta seguruak zerbitzari bizian, nahiz eta bigarrenak ticket publikoan nahi ez zenituzkeen bideak inprimatzen dituen.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Fitxategi .ovpn bat direktorio pertsonal batean bezeroaren artefaktua da. Zerbitzariko deabruak ez du inoiz irakurtzen, beraz fitxategi hori aldatzeak zerbitzari aldeko esku-uzketa hutsegitea konpontzeko ez du ezer lortzen.

Inklusioak beste tranpa dira. config lerro batek bigarren fitxategi bat ekartzen du, eta haren aukerak puntu horretan prozesatzen dira, beraz geroagoko balio bakarreko direktiba batek fitxategi nagusiak itxuraz dioena gaindi dezake. Fitxategi ikusgaiak zuzena ematen badu eta deabruak oraindik bestela jokatzen badu, irakurri inklusitutako fitxategia ezer aldatu aurretik.

Lotu erregistroa prozesuari, gogoratzen duzun errorari ez

Bi erregistro helmuga ohikoak dira, eta horietako bat soilik da journal. log-append ezarrita, deabruak fitxategi horretan idazten du eta journalek abiarazte-lerroetatik haratago gutxi gordetzen du. Hori gabe, journalctl da gertaeren iturria.

journalctl -u openvpn-server@server -n 80 --no-pager

Lotu konexio-saiakera bat denbora-leiho batekin. Idatzi bezeroaren amaiera-puntua, eta gero irakurri zerbitzariko gertaerak segundo beretatik. Ziurtagirien trukaketara iristen ez den TLS esku-uzketa batek irisgarritasun edo protokolo-desadostasun arazo bati seinalatzen dio, eta autentifikazio-ukapen bat tunel-parametroak adostu ondoren iristen da.

Erregistroko sarrera zahar batek ez du ezer frogatzen duela bost minutu jaitsi zenuen profil bati buruz. Sortu berriro bezero-fitxategia, konektatu behin, eta irakurri saiakera horretan agertu ziren lerroak soilik.

Idatzi lehen hutsegite zehatza, azken orokorraren ordez. Bind errore bat, erantzunik gabeko kanpo-trukaketa bat, ziurtagiri-ukapen bat eta kontu-ukapen bat bakoitzak geruza ezberdin batera bidaltzen zaitu, eta amaierako denbora-muga batek sarritan ezkutatzen du gaineko gertaera erabilgarria.

Tunela berreraikitzea ez da diagnostiko urratsa

Bide labur tentagarria bigarren tunel sinpleago bat altxatzea da: gako estatikoa, ziurtagiririk gabe, autentifikazio gehigarririk gabe. Sarritan konektatuko da, eta bi ostalarik elkarren artean UDP edo TCP pasa dezaketela baino ez du frogatzen. Ez du ezer esaten ziurtagiriekin autentifikatutako inplementazioak zergatik huts egiten duen, eta isilpean ordezten du mantentzeko eskatu zitzaizun segurtasun-eredua.

Gauza bera aplikatzen zaie tls-auth edo tls-crypt desgaitzeari, verify-x509-name lasaitzeari, edo bigarren faktorea baztertzeari estatus berdea lortzeko. Egiaztapena kendu zelako konektatzen den tunel bat beste sistema bat da, ez konpondutako bat.

Egin aldaketa mugatu bat erregistroak aipatutako geruzan, berrabiarazi unitate bera eta errepikatu konexio-saiakera bakarra. Horrek alderaketa zintzo mantentzen du eta atzera dezakezun aldaketa bat uzten du.

Zer eman hurrengo pertsonari

Idatzi lau datu oraindik dituzun bitartean: OpenVPN bertsioa openvpn --version hemendik, unitate aktiboa, konfigurazio katea bere inklusioekin eta saiakeraren bat biltzen duen erregistro-leihoa. Lau horiek kexa lauso bat kasu errepikagarri bihurtzen dute.

Ezkutatu datu sentikorrak partekatu aurretik. Gako pribatuek, auth-user-pass fitxategiek, gako estatikoaren materialak eta bezero-pakete osoek ez dute tiket batean lekurik; aukeren izenek eta katearen formak aski izaten dute bigarren begi-pare batentzat.

Kateak osorik jarraitzen badu eta erregistroak oraindik sarera seinalatzen badu, hurrengo urratsa bezeroaren eta zerbitzariaren arteko bidea da, beste instalazio bat beharrean. Hori da laguntzaileak inoiz eduki ez zuen istorioaren zatia.