Voiko WireGuard-kokoonpanon muuntaa OpenVPN:ksi?

Sinulla on wg0.conf ja asiakasohjelma, joka hyväksyy vain .ovpn, joten joku ehdottaa tiedoston muuntamista. Uudelleennimeäminen tuottaa profiilin, jota OpenVPN ei pysty jäsentämään, ja huolellinen kenttä kentältä -käännös tuottaa sellaisen, joka jäsentyy ja epäonnistuu sitten kättelyssä. Syy ei ole tiedostomuoto. WireGuard ja OpenVPN ovat eri protokollia, joilla on erilaiset kättelyt, erilaiset todennusmallit ja erilainen käsitys siitä, mikä peer on. Muuntaminen toimii vain siinä mielessä, että voit hankkia OpenVPN-profiilin siltä, joka hallinnoi toista päätä.

Tiedosto, joka sinulla on, kuvaa peeriä, ei yhteyden profiilia

WireGuard-kokoonpano on lyhyt, koska protokolla on sellainen: rajapinta, jossa on yksityinen avain ja osoitteet, sitten yksi tai useampi peer, jossa on julkinen avain, endpoint ja AllowedIPs -lista. Ei ole neuvottelukerrosta konfiguroitavaksi eikä salauspakettia valittavaksi.

OpenVPN-profiili on TLS-pohjaisen ohjauskanavan asiakasohjelma, siksi se sisältää viittaukset varmenteisiin tai tunnistetietoihin ja ohjeet siitä, miten todennus tehdään.

Miksi käännetty tiedosto silti epäonnistuu kättelyssä

WireGuard alkaa Noise-pohjaisella kättelyllä, joka avaimetaan peerien staattisilla avaimilla, ja pysyy hiljaa, ellei peerin julkista avainta jo tunneta. OpenVPN avaa TLS-istunnon, varmentaa palvelinvarmen tai staattisen avaimen ja todentaa sitten käyttäjän varmenteilla, käyttäjänimellä ja salasanalla tai molemmilla. Mikään WireGuard-tiedostossa ei kuvaa tätä. Käännetty tiedosto kantaisi oikean endpointin ja kaiken muun väärin.

Osoitteen ja portin uudelleenkäyttökään ei auta, koska toinen pää odottaa erilaista pakettia.

Mitä palveluntarjoajalta kannattaa kysyä

Jos palveluntarjoaja toimitti WireGuard-tiedoston, kysy, onko samalla tilillä OpenVPN-käyttöoikeus, ja pyydä se profiili. Monilla on, ja se tulee omine tunnistetietoineen, ei ensimmäisen muunneltuna kopiona.

Jos vastaus on ei, rajoitus on tilauksessa eikä tiedostossa, eikä mikään muunnin muuta sitä.

Jos reititin tai asiakasohjelma puhuu vain OpenVPN:ää

Kun laite, jonka täytyy yhdistää, tukee vain OpenVPN:ää, tarkista toisen pään dokumentoitu protokollatuki ennen kuin etsit toista laajennusta. Reititintä, joka päättää OpenVPN:n, ei saa hyväksymään WireGuardia tuomalla tiedostoa. Toimivia vaihtoehtoja ovat OpenVPN-endpoint palvelinpuolella tai toinen laite, joka puhuu WireGuardia.

Valitse sen mukaan, kuka hallinnoi toista päätä, älä sen mukaan, mikä tiedosto sinulla sattuu olemaan.

Jos ylläpidät palvelinta itse, lisää protokolla

Toisen protokollan tukeminen tarkoittaa toisen palvelun ajamista. Linux-palvelimella se on OpenVPN-instanssi, jolla on oma CA, palvelinvarmenne, asiakasvarmenteet ja direktiivit server ja push, sekä palomuurisääntö sen portille. Nykyinen WireGuard-peer-merkintä ei kuvaa yhtäkään näistä objekteista. Suunnittele osoitevaranto ja työnnetyt reitit erikseen WireGuardin AllowedIPs -listasta, koska ne eivät ole sama mekanismi kahdella nimellä.

Tarkista sitten asiakkaalta: profiili latautuu, TLS-istunto valmistuu, työnnetty reitti ilmestyy ja liikenne saavuttaa isännän, joka on tavoitettavissa vain tunnelin kautta.

Missä muunninajatus on turvallinen

Arvojen käsin siirtäminen muistiinpanoihin on hyvä ja usein hyödyllistä, koska endpoint, osoitteet ja peerin julkinen avain ovat vain käyttöönoton tosiasioita. Yksityisen avaimen lataaminen verkkosivustolle, joka lupaa muuntamista, ei ole hyvä, koska se avain on tunnistetieto eikä palvelulla ole protokollaa, johon sen muuntaisi. Jos tarvitset saman pääsyn OpenVPN-asiakkaasta, pyydä sen sijaan OpenVPN-tunnistetieto.

Pidä kaksi kokoonpanoa rinnakkain ja kohtele niitä erillisinä pääsypolkuina, koska niitä ne ovat.