Netgear OpenVPN: TUN i TAP slušaju na različitim portovima

Telefon se bez pritužbe spaja na VPN usmjerivača, a prijenosnik s profilom s iste stranice za preuzimanje istekne. Ništa u vezi s certifikatima nije se promijenilo između tih dvaju pokušaja, jer prijenosnik nikada nije stigao do točke gdje su certifikati važni. Usmjerivač objavljuje odvojene slušatelje za TUN i TAP, a radni profil mora odabrati onaj koji pripada njegovu vlastitom tipu uređaja.

Odlučiti koji od triju mogućih kvarova slijediti ovdje je cijeli posao: port, tip uređaja ili pregovaranje šifre podatkovnog kanala.

Tri stvari koje se moraju slagati

Tip uređaja, linija sučelja u profilu i port slušatelja čine jedan izbor, a ne tri. Profil koji navodi dev tun i cilja na TAP slušatelja ne može dovršiti sesiju, a obrnuto pada na isti način. Za svoj model i firmver čitajte port s vlastite VPN stranice usmjerivača, a ne iz vodiča, jer se brojevi mijenjaju između verzija. Zapišite model i verziju firmvera uz taj broj da ga sljedeća osoba može provjeriti.

Izvješća iz prakse spominju par poput 12973 za TUN i 12974 za TAP na jednom firmveru, a drugi broj na drugom. Čitajte ih kao dokaz da se verzije razlikuju, a ne kao konstante za kopiranje. Profil zatim treba hostname prikladan za udaljenost: dinamičko DNS ime usmjerivača umjesto WAN adrese koja će se promijeniti.

Nakon ispravljanja porta i linije sučelja profil izgleda kao uobičajena klijentska konfiguracija s jednom remote linijom i jednom dev linijom. Ako se njih dvije ne slažu, nikakvo ponavljanje ne stvara sesiju.

Čitajte zapisnik redoslijedom kojim se ispisuje

Klijent OpenVPN prijavljuje događaje redoslijedom kojim se događaju, pa zadnji redak prije tišine označava sloj koji treba pregledati. Kada izvršavanje završi na TLS Error: TLS key negotiation failed ili jednostavno čeka prvi odgovor pa odustane, usporedba certifikata nikada se nije dogodila. To upućuje na dostupnost, na slušatelja ili na port iza kojeg nema ničega. Ništa od toga ne popravlja se zamjenom CA datoteke.

Izvršavanje koje stigne do VERIFY OK i zatim padne nalazi se posve drugdje, s vlastitim uzrocima. Razvrstavanje tih dvaju ishoda prije diranja datoteka sprječava klasičan obilazak kroz pakete certifikata koji nikada nisu bili konzultirani. Kad rukovanje završi, ali tunel se ne podigne, gledajte pregovaranje šifre umjesto dostupnosti.

Dodajte popis šifri koji moderan klijent očekuje

Noviji OpenVPN klijenti odbijaju starije zadane vrijednosti koje firmver potrošačkih uređaja još nudi, a simptom je neuspjeh pregovaranja odmah nakon uspješnog rukovanja. Popravak je jedna linija profila koja navodi što će klijent prihvatiti: postavite data-ciphers na AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 i AES-128-CBC tim redoslijedom. Svaki algoritam koji usmjerivač ne implementira jednostavno se nikada ne odabere, pa dulji popis košta samo malo dulje pregovaranje.

Navođenje šifri ne uči usmjerivač onoj koju nema. Ako pregovaranje i dalje ne uspijeva, provjerite ima li stranica usmjerivača vlastitu postavku šifre i uključuje li ta postavka barem jedan zapis koji klijent prihvaća. Dva popisa bez zajedničkog člana daju točno isti neuspjeh kao pogrešan port, zato oba kraja zaslužuju pogled.

Uvezite jednom umjesto ručnog uređivanja kopija

Uvoz ispravljene datoteke u NetworkManager izbjegava mapu punu malo različitih profila: nmcli connection import type openvpn file client.ovpn, zatim ga podignite po imenu. Držite uvezeni profil kao jedinu kopiju koju uređujete i brišite duplikate koji se nakupljaju ponovljenim preuzimanjima.

Zatim testirajte izvan LAN-a. Povezivanje iz iste mreže dokazuje vrlo malo, jer promet možda uopće ne prolazi kroz tunel. Potvrdite da zahtjev stvarno izlazi kroz usmjerivač, a ne samo da klijent pokazuje povezano stanje.

Odlučite što učiniti s upozorenjima

Firmver potrošačkih uređaja obično stvara vlastito tijelo za izdavanje certifikata, a klijenti se žale na provjeru na načine koje firmver ne može ugušiti. Procijenite je li ta pritužba važna za ono što štitite umjesto da svako upozorenje tretirate kao kobno, i ne isključujte provjeru globalno da ušutkate jednu poruku. Upozorenje koje ste procijenili dokumentiran je rizik; postavka provjere koju ste onemogućili nije dokumentirana.

Kada firmver ne pruža podržan način da ispravite upozorenje koje je doista važno, taj jaz govori u prilog hostanju VPN-a negdje drugdje. Odabir između popravka profila, prihvaćanja upozorenja i premještanja odredišta odluka je o tome koliko vjerujete tom certifikatu. Donesite je namjerno i zapišite koju ste opciju odabrali, umjesto klikanja kroz dijaloge dok ikona ne postane zelena.