Wêrom in OpenVPN-profil net yn SoftEther ymportearre wurde kin

Twa bestannen dy’t beide op VPN-konfiguraasje lykje, bedarje yn deselde map, en mar ien fan beide wurket. It OpenVPN-profil beskriuwt in TLS-tunnel mei rjochtlinen dy’t dy klant begrypt, wylst in SoftEther-ferbining in sesje tsjin in firtuele hub beskriuwt mei in oar autentikaasjekontrakt. It iene yn it oare omsette is gjin opmaakoefening, want de beide klanten ymplementearje net itselde protokol. Fêststelle hokker tsjinst de operator echt publisearre hat, beslút alles wat folget.

Twa bestannen, twa kontrakten

In OpenVPN-profil is in klantkonfiguraasje: in ekstern einpunt, in transport, TLS-materiaal en rjochtlinen foar rûtelearring en opnij ûnderhanneljen. In SoftEther-ferbining is in lânseigen klientsesje tsjin in firtuele hub, mei in firtuele adapter deroan keppele.

Se kinne tagong ta itselde netwurk beskriuwe sûnder útwikselber te wêzen. De OpenVPN-listener is in kompatibiliteitsfunksje dy’t de tsjinner op in aparte poarte publisearje kin, en hy praat OpenVPN ynstee fan it lânseigen protokol. De lânseigen klant praat it lânseigen protokol en ferwachtet syn eigen profil. Ien tsjinner, twa doarren, en elke doar hat syn eigen kaai.

De bestânsextinsje fertelt jo hast neat, dêrom is it antwurd fan de operator wichtiger as de namme fan it bestân.

Lês de tsjinner foardat jo in sertifikaatblok oanreitsje

Freegje de operator trije dingen: hokker poarte en transport, hokker autentikaasjemetoade, en hokker klant se ferwachtsje dat jo brûke. Dy antwurden nimme it measte rieden fuort.

Befêstigje dan wat echt harket, ynstee fan wat in hantlieding beweart. In útskeakele kompatibiliteitslistener lit neat op syn poarte sjen, en in ynskeakele lit in socket sjen sels as der nea immen ferbûn hat. It ferskil tusken in sletten poarte en in wegere oanmelding is de earste nuttige diagnoaze. Alles dêrnei hinget derfan ôf hokker doar der kloppe is.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

In UDP-poarte dy’t yn ’e listenerlist ûntbrekt is in útskeakele funksje en gjin probleem mei de firewall.

Wat de lânseigen klant nedich hat en in profil net jaan kin

De lânseigen klant ynstallearret in firtuele netwurkadapter en bynt in ferbining deroan. Sûnder dy adapter is der gjin ynterface om troch te rûtelearjen, dêrom kin in lânseigen ferbining autentisearje en dochs gjin ferkear drage.

Lânseigen autentikaasje rint tsjin in firtuele hub, mei in brûkersobjekt dat de hub-administrator oanmakke hat. Sertifikaatblokken dy’t út in OpenVPN-profil kopiearre binne, wurde gjin hub-brûkers, en in hub-brûker wurdt gjin kliïntsertifikaat. De beide systemen bewarje ferskillende dingen, en in profil hat nearne om it brûkersrekord fan ’e hub te pleatsen. Dat is in struktureel ferskil en gjin syntaksprobleem.

Hâld de partikuliere kaai bûten elke omsettingsstsjinst, want in kaai dy’t de masine ferlit moat as iepenbier beskôge wurde.

Wat de OpenVPN-kompatibele listener oannimt

De kompatibiliteitslistener is út it eachpunt fan de klant in echte OpenVPN-tsjinner: hy ferwachtet in OpenVPN-klant en de rjochtlinen dy’t dy klant stipet. Ynline sertifikaatblokken binne in OpenVPN-funksje, en se hearre oan dy kant fan it hek.

Wat er net docht, is in lânseigen SoftEther-profil oannimme, want dat profil is gjin OpenVPN-konfiguraasje. De listener makket ek gjin OpenVPN-klant fan de lânseigen klant. As de operator allinnich de lânseigen tsjinst biedt, is it antwurd de lânseigen klant; as er de kompatibiliteitslistener biedt, is it antwurd OpenVPN en syn eigen materiaal.

Freegje om de stipe eksport fan de operator ynstee fan ien út fragminten te montearjen, want de eksport draacht details dy’t in mei de hân boud bestân meastentiids mist.

Bewiis it paad foardat jo rjochtlinen bewurkje

As de klant keazen is, test de tunnel foardat jo rûtes oanreitsje. In slagge oanmelding en in ynterface dat ferkear draacht binne twa ferskillende resultaten.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Fergelykje it tawiisde adres mei de pool dy’t de operator beskreaun hat, en sjoch dan apart nei rûtes en resolver. In lânseigen hub-ferbining kin skjin autentisearje en hielendal gjin rûtes ynstallearje, wat fan ’e klantkant like as in stikken tunnel. Pas as dy trije oerienkomme, is it de muoite wurdich in rjochtline te bewurkjen. Earder bewurkje ferberget hokker laach ferkeard wie.