האם אפשר להמיר קונפיגורציית WireGuard ל-OpenVPN?

יש לך wg0.conf ולקוח שמקבל רק .ovpn, אז מישהו מציע להמיר את הקובץ. שינוי השם מייצר פרופיל שOpenVPN לא יכול לנתח, ותרגום זהיר שדה אחר שדה מייצר כזה שמנותח ואז נכשל בלחיצת היד. הסיבה אינה פורמט הקובץ. WireGuard ו-OpenVPN הם פרוטוקולים שונים עם לחיצות יד שונים, מודלי אימות שונים ותפיסות שונות לגבי מהו peer. ההמרה עובדת רק במובן הזה שאפשר לקבל פרופיל OpenVPN ממי שמפעיל את הצד השני.

הקובץ שיש לך מתאר peer, לא פרופיל חיבור

קונפיגורציית WireGuard קצרה כי הפרוטוקול כזה: ממשק עם מפתח פרטי וכתובות, אחר כך peer אחד או יותר עם מפתח ציבורי, endpoint ורשימת AllowedIPs. אין שכבת משא ומתן להגדרה ואין ערכת צפנים לבחירה.

פרופיל OpenVPN הוא לקוח לערוץ בקרה מבוסס TLS, ולכן הוא נושא הפניות לתעודות או לאישורים והנחיות שמתארות כיצד לבצע אימות.

למה קובץ מתורגם עדיין נכשל בלחיצת היד

WireGuard מתחיל בלחיצת יד מבוססת Noise שממופתחת במפתחות הסטטיים של ה-peers, ונשאר שקט אלא אם המפתח הציבורי של ה-peer כבר ידוע. OpenVPN פותח סשן TLS, מאמת תעודת שרת או מפתח סטטי, ואז מאמת את המשתמש בתעודות, בשם משתמש וסיסמה, או בשניהם. שום דבר בקובץ WireGuard לא מתאר את זה. קובץ מתורגם היה נושא את ה-endpoint הנכון ואת כל השאר שגוי.

שימוש חוזר בכתובת ובפורט גם לא עוזר, כי הצד השני מאזין לחבילה אחרת.

מה לשאול את הספק

אם ספק סיפק את קובץ ה-WireGuard, שאל אם לאותו חשבון יש גישה ל-OpenVPN ובקש את הפרופיל הזה. לרבים יש, והוא מגיע עם אישורים משלו ולא כעותק ששונה מהראשון.

אם התשובה שלילית, המגבלה היא במנוי ולא בקובץ, ואף ממיר לא משנה אותה.

אם הנתב או הלקוח מדבר רק OpenVPN

כאשר ההתקן שצריך להתחבר תומך רק ב-OpenVPN, בדוק את תמיכת הפרוטוקולים המתועדת של הצד השני לפני חיפוש הרחבה אחרת. נתב שמסיים OpenVPN לא ישתכנע לקבל WireGuard על ידי ייבוא קובץ. האפשרויות המעשיות הן endpoint של OpenVPN בצד השרת, או התקן אחר שמדבר WireGuard.

בחר לפי מי שמנהל את הצד השני, לא לפי איזה קובץ במקרה יש לך.

אם אתה מפעיל את השרת, הוסף את הפרוטוקול

תמיכה בפרוטוקול שני פירושה הפעלת שירות שני. בשרת Linux זהו מופע OpenVPN עם CA משלו, תעודת שרת, תעודות לקוח והנחיות server ו-push, יחד עם כלל חומת אש עבור הפורט שלו. רשומת ה-peer הקיימת ב-WireGuard לא מתארת אף אחד מהאובייקטים האלה. תכנן את מאגר הכתובות ואת המסלולים הנדחפים בנפרד מה-AllowedIPs של WireGuard, כי אלה אינם אותו מנגנון בשני שמות.

לאחר מכן אמת מהלקוח: הפרופיל נטען, סשן ה-TLS מושלם, המסלול הנדחף מופיע והתעבורה מגיעה למארח שנגיש רק דרך המנהרה.

איפה רעיון הממיר בטוח

תרגום ערכים ביד להערות הוא בסדר ולעיתים קרובות שימושי, כי ה-endpoint, הכתובות והמפתח הציבורי של ה-peer הם רק עובדות על הפריסה. העלאת מפתח פרטי לאתר שמבטיח המרה אינה בסדר, כי המפתח הזה הוא האישור ולשירות אין פרוטוקול להמיר אותו אליו. אם אתה צריך את אותה גישה מלקוח OpenVPN, בקש אישור OpenVPN במקום.

שמור את שתי הקונפיגורציות זו לצד זו והתייחס אליהן כאל נתיבי גישה נפרדים, כי כאלה הן.