Netgear OpenVPN: TUN و TAP روی پورت‌های متفاوت گوش می‌دهند

یک گوشی بدون هیچ شکایتی به VPN روتر وصل می‌شود، اما لپ‌تاپی که از پروفایلی از همان صفحهٔ دانلود استفاده می‌کند مهلتش تمام می‌شود. بین این دو تلاش چیزی دربارهٔ گواهی‌ها عوض نشد، چون لپ‌تاپ هرگز به نقطه‌ای نرسید که گواهی‌ها اهمیت داشته باشند. روتر شنونده‌های جداگانه‌ای برای TUN و TAP منتشر می‌کند و پروفایل کارآمد باید همانی را انتخاب کند که به نوع دستگاه خودش تعلق دارد.

تصمیم‌گیری دربارهٔ اینکه سراغ کدام‌یک از سه ایراد ممکن برویم، تمام کار اینجاست: پورت، نوع دستگاه، یا مذاکرهٔ رمز کانال داده.

سه چیز که باید با هم بخوانند

نوع دستگاه، خط واسط پروفایل و پورت شنونده یک انتخاب را می‌سازند، نه سه تا. پروفایلی که dev tun را اعلام می‌کند و شنوندهٔ TAP را هدف می‌گیرد نمی‌تواند نشست را کامل کند، و برعکس هم دقیقاً به همان شکل شکست می‌خورد. برای مدل و فرم‌ور خودتان، پورت را از صفحهٔ VPN خود روتر بخوانید نه از یک راهنما، چون شماره‌ها بین نسخه‌ها جابه‌جا می‌شوند. مدل و نسخهٔ فرم‌ور را کنار همان شماره بنویسید تا نفر بعدی بتواند بررسی‌اش کند.

گزارش‌های میدانی جفتی مثل 12973 برای TUN و 12974 برای TAP روی یک فرم‌ور و شماره‌ای متفاوت روی دیگری را ذکر می‌کنند. آن‌ها را شاهدی بر تفاوت نسخه‌ها بخوانید، نه ثابت‌هایی برای کپی کردن. سپس پروفایل به نام میزبان مناسب فاصله نیاز دارد: نام DNS دینامیک روتر به‌جای نشانی WAN که تغییر خواهد کرد.

پس از اصلاح پورت و خط واسط، پروفایل مثل یک پیکربندی عادی کلاینت با یک خط remote و یک خط dev به نظر می‌رسد. اگر این دو با هم نخوانند، هیچ مقدار تلاش دوباره نشستی نمی‌سازد.

گزارش را به همان ترتیبی که چاپ می‌شود بخوانید

کلاینت OpenVPN رویدادها را به ترتیب وقوعشان گزارش می‌کند، پس آخرین خط پیش از سکوت لایهٔ قابل بررسی را مشخص می‌کند. وقتی اجرا در TLS Error: TLS key negotiation failed تمام می‌شود، یا فقط منتظر اولین پاسخ می‌ماند و رها می‌کند، مقایسهٔ گواهی هرگز رخ نداده است. این به دسترس‌پذیری، به شنونده، یا به پورتی که چیزی پشتش نیست اشاره می‌کند. هیچ‌کدام از این‌ها با جایگزینی فایل CA درست نمی‌شود.

اجرایی که به VERIFY OK می‌رسد و بعد شکست می‌خورد، جای کاملاً دیگری است با دلایل خودش. جدا کردن این دو نتیجه پیش از دست زدن به فایل‌ها مانع آن انحراف کلاسیک از میان بسته‌های گواهی می‌شود که هرگز از آن‌ها پرسیده نشده بود. وقتی دست‌دادن کامل شد اما تونل بالا نیامد، به مذاکرهٔ رمز نگاه کنید نه به دسترس‌پذیری.

فهرست رمزهایی را که یک کلاینت مدرن انتظار دارد اضافه کنید

کلاینت‌های تازهٔ OpenVPN پیش‌فرض‌های قدیمی‌تری را که فرم‌ور دستگاه‌های خانگی هنوز عرضه می‌کند رد می‌کنند، و نشانه‌اش شکست مذاکره بلافاصله پس از یک دست‌دادن موفق است. راه‌حل یک خط پروفایل است که نام می‌برد کلاینت چه چیزی را می‌پذیرد: data-ciphers را به ترتیب روی AES-256-GCM، AES-128-GCM، CHACHA20-POLY1305 و AES-128-CBC تنظیم کنید. هر الگوریتمی که روتر پیاده نکرده باشد به‌سادگی هرگز انتخاب نمی‌شود، پس فهرست بلندتر چیزی جز مذاکرهٔ کمی طولانی‌تر هزینه ندارد.

فهرست کردن رمزها به روتر چیزی را که ندارد یاد نمی‌دهد. اگر مذاکره هنوز شکست می‌خورد، بررسی کنید آیا صفحهٔ روتر تنظیم رمز خودش را دارد و آیا آن تنظیم دست‌کم یک ورودی را شامل می‌شود که کلاینت می‌پذیرد. دو فهرست بدون عضو مشترک دقیقاً همان شکستی را می‌سازند که پورت اشتباه می‌سازد، و به همین دلیل هر دو سر ارزش یک نگاه را دارند.

یک بار وارد کنید به‌جای ویرایش دستی نسخه‌ها

وارد کردن فایل اصلاح‌شده به NetworkManager از پوشه‌ای پر از پروفایل‌های کمی متفاوت جلوگیری می‌کند: nmcli connection import type openvpn file client.ovpn، سپس آن را با نام بالا بیاورید. پروفایل واردشده را تنها نسخه‌ای نگه دارید که ویرایش می‌کنید، و تکراری‌هایی را که از دانلودهای مکرر جمع می‌شوند حذف کنید.

سپس از بیرون LAN آزمایش کنید. اتصال از همان شبکه چیز بسیار کمی را ثابت می‌کند، چون ممکن است ترافیک هرگز از تونل عبور نکند. تأیید کنید که درخواستی واقعاً از روتر بیرون می‌رود، نه فقط اینکه کلاینت وضعیت متصل نشان می‌دهد.

تصمیم بگیرید با هشدارها چه کنید

فرم‌ور دستگاه‌های خانگی معمولاً مرجع گواهی خودش را می‌سازد و کلاینت‌ها به شکل‌هایی از تأیید شکایت می‌کنند که فرم‌ور نمی‌تواند سرکوبشان کند. داوری کنید که آن شکایت برای چیزی که از آن محافظت می‌کنید اهمیت دارد یا نه، به‌جای آنکه هر هشدار را مهلک بدانید، و تأیید را سراسری خاموش نکنید تا یک پیام ساکت شود. هشداری که ارزیابی کرده‌اید ریسکی مستند است؛ تنظیم تأییدی که غیرفعال کرده‌اید مستند نیست.

وقتی فرم‌ور هیچ راه پشتیبانی‌شده‌ای برای اصلاح هشداری که واقعاً اهمیت دارد فراهم نمی‌کند، این شکاف به نفع میزبانی VPN در جای دیگر است. انتخاب میان تعمیر پروفایل، پذیرش هشدار و جابه‌جا کردن نقطهٔ پایانی تصمیمی است دربارهٔ اینکه چقدر به آن گواهی اعتماد دارید. آن را آگاهانه بگیرید و بنویسید کدام گزینه را انتخاب کردید، به‌جای کلیک کردن در دیالوگ‌ها تا وقتی نماد سبز شود.