Netgear OpenVPN: TUN ja TAP kuuntelevat eri porteilla

Puhelin yhdistää reitittimen VPN:hen valittamatta, ja samalta lataussivulta profiilia käyttävä kannettava aikakatkaistaan. Varmenteissa ei muuttunut mitään näiden kahden yrityksen välillä, koska kannettava ei koskaan päässyt pisteeseen, jossa varmenteilla on merkitystä. Reititin julkaisee erilliset kuuntelijat TUN:lle ja TAP:lle, ja toimivan profiilin on valittava se, joka kuuluu sen omaan laitetyyppiin.

Sen päättäminen, mitä kolmesta mahdollisesta viasta lähteä jäljittämään, on tässä koko työ: portti, laitetyyppi vai datakanavan salauksen neuvottelu.

Kolme asiaa, joiden on täsmättävä

Laitetyyppi, profiilin rajapintarivi ja kuuntelijan portti muodostavat yhden valinnan, eivät kolmea. Profiili, joka ilmoittaa dev tun ja tähtää TAP-kuuntelijaan, ei voi saada istuntoa valmiiksi, ja päinvastoin se epäonnistuu samalla tavalla. Oman mallisi ja laiteohjelmistosi osalta lue portti reitittimen omalta VPN-sivulta äläkä oppaasta, koska numerot liikkuvat versioiden välillä. Kirjoita malli ja laiteohjelmistoversio sen numeron viereen, jotta seuraava henkilö voi tarkistaa sen.

Kentältä tulevat raportit mainitsevat parin kuten 12973 TUN:lle ja 12974 TAP:lle yhdellä laiteohjelmistolla ja eri numeron toisella. Lue ne todisteena siitä, että versiot eroavat, älä kopioitavina vakioina. Profiili tarvitsee sitten etäisyydelle sopivan isäntänimen: reitittimen dynaamisen DNS-nimen eikä WAN-osoitetta, joka muuttuu.

Kun portti ja rajapintarivi on korjattu, profiili näyttää tavalliselta asiakasohjelman kokoonpanolta, jossa on yksi remote-rivi ja yksi dev-rivi. Jos ne kaksi eivät täsmää, mikään määrä uudelleenyrityksiä ei tuota istuntoa.

Lue loki siinä järjestyksessä kuin se tulostuu

OpenVPN-asiakasohjelma raportoi tapahtumat siinä järjestyksessä kuin ne tapahtuvat, joten hiljaisuutta edeltävä viimeinen rivi osoittaa tutkittavan kerroksen. Kun ajo päättyy riviin TLS Error: TLS key negotiation failed tai vain odottaa ensimmäistä vastausta ja luovuttaa, varmenteiden vertailua ei koskaan tapahtunut. Se viittaa tavoitettavuuteen, kuuntelijaan tai porttiin, jonka takana ei ole mitään. Mitään niistä ei korjata vaihtamalla CA-tiedostoa.

Ajo, joka pääsee riville VERIFY OK ja epäonnistuu sitten, on aivan muualla omine syineen. Näiden kahden tuloksen erottelu ennen tiedostoihin koskemista estää klassisen kiertotien varmennepakettien kautta, joilta ei koskaan kysytty. Kun kättely on valmis mutta tunneli ei nouse, katso salauksen neuvottelua tavoitettavuuden sijaan.

Lisää salausluettelo, jota nykyaikainen asiakasohjelma odottaa

Viimeaikaiset OpenVPN-asiakasohjelmat hylkäävät vanhemmat oletusarvot, joita kuluttajalaitteiden laiteohjelmisto yhä tarjoaa, ja oireena on neuvottelun epäonnistuminen heti onnistuneen kättelyn jälkeen. Korjaus on yksi profiilirivi, joka nimeää, mitä asiakasohjelma hyväksyy: aseta data-ciphers arvoihin AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 ja AES-128-CBC tässä järjestyksessä. Mitä tahansa algoritmia reititin ei toteuta, ei yksinkertaisesti koskaan valita, joten pidempi luettelo ei maksa mitään paitsi hieman pidemmän neuvottelun.

Salausten listaaminen ei opeta reitittimelle sellaista, jota sillä ei ole. Jos neuvottelu yhä epäonnistuu, tarkista, onko reitittimen sivulla oma salausasetus ja sisältääkö se asetus ainakin yhden merkinnän, jonka asiakasohjelma hyväksyy. Kaksi luetteloa ilman yhteistä jäsentä tuottavat täsmälleen saman epäonnistumisen kuin väärä portti, minkä vuoksi molemmat päät ansaitsevat katseen.

Tuo kerran sen sijaan että muokkaat kopioita käsin

Korjatun tiedoston tuonti NetworkManageriin välttää kansion, joka on täynnä hieman erilaisia profiileja: nmcli connection import type openvpn file client.ovpn, nosta se sitten nimellä ylös. Pidä tuotu profiili ainoana kopiona, jota muokkaat, ja poista kopiot, joita toistuvista latauksista kertyy.

Testaa sitten LAN:in ulkopuolelta. Samasta verkosta yhdistäminen todistaa hyvin vähän, koska liikenne ei ehkä kulje tunnelin läpi lainkaan. Varmista, että pyyntö todella lähtee reitittimen kautta, ei vain että asiakasohjelma näyttää yhdistettyä tilaa.

Päätä, mitä varoituksille tehdään

Kuluttajalaitteiden laiteohjelmisto lyö yleensä oman varmentajansa, ja asiakasohjelmat valittavat varmennuksesta tavoilla, joita laiteohjelmisto ei voi tukahduttaa. Arvioi, onko valituksella merkitystä sille, mitä suojaat, sen sijaan että pitäisit jokaista varoitusta kohtalokkaana, äläkä kytke varmennusta pois päältä maailmanlaajuisesti yhden viestin vaientamiseksi. Arvioitu varoitus on dokumentoitu riski; pois kytketty varmennusasetus on dokumentoimaton.

Kun laiteohjelmisto ei tarjoa tuettua tapaa korjata varoitusta, jolla todella on merkitystä, tämä aukko puhuu VPN:n isännöimisen puolesta muualla. Valinta profiilin korjaamisen, varoituksen hyväksymisen ja päätepisteen siirtämisen välillä on päätös siitä, kuinka paljon luotat tuohon varmenteeseen. Tee se tietoisesti ja kirjoita muistiin, minkä vaihtoehdon valitsit, sen sijaan että klikkaat valikoita, kunnes kuvake muuttuu vihreäksi.