Halott a DD-WRT OpenVPN 2.5 listenerje? Olvassa el a generált konfigurációt

Egy halott listener a DD-WRT-n általában azt jelenti, hogy a daemon kilépett a konfigurációja elemzése közben, nem pedig azt, hogy egy tűzfalszabály blokkolta a portot. OpenVPN 2.5 több olyan alapértelmezést szigorított, amelyekre a régebbi konfigurációk támaszkodtak, és egy generált konfiguráció, amely egy régebbi builden működött, elutasítható, mielőtt a socket egyáltalán megnyílna. Az ok az útválasztó saját naplójában van, a bemenet pedig a generált fájlban. Mindkettőt ebben a sorrendben olvasni gyorsabb, mint bármilyen csomagrögzítés.

A daemon nem a tűzfal

A megkülönböztetés azért számít, mert kívülről a két hiba egyformán néz ki: a kliens kézfogást küld, és semmit sem kap vissza. Az egyik egy nem futó folyamat, a másik egy futó és szűrő folyamat.

Két ellenőrzéssel válassza szét őket, mielőtt bármit módosítana, mert a tűzfal szerkesztése egy halott daemonon csak egy második változót ad hozzá.

Olvassa el a DD-WRT által generált konfigurációt

A DD-WRT nem azt a szöveget adja át az OpenVPN-nek, amelyet a webes felületen beírt. Generált konfigurációt ír ide: /tmp/openvpn/openvpn.conf, és ezzel a fájllal indítja a daemont, így a felület mezői és az Additional Config bármely szövege összeolvad, mielőtt az OpenVPN egyáltalán látná őket. Ha a generált fájl helyett az űrlapot hibakeresi, szándékot olvas, nem a tényleges bemenetet. Másolja a fájlt állandó helyre, mielőtt egy újraindítás /tmp kiüríti.

Hasonlítsa össze a generált fájlt azzal, amit szándékolt, különösen ott, ahol a felület olyan direktívát ír, amelyet soha nem választott. Egy legördülő menü, amely elavult opciót bocsát ki, láthatatlan az űrlapon és végzetes a daemon számára.

Ha a generált fájl üres vagy hiányzik, a daemon el sem jutott az indításig, és a probléma az OpenVPN előtt van.

Mit nem fogad el többé az OpenVPN 2.5

Az OpenVPN 2.5 lecserélte a ncp-ciphers-t erre: data-ciphers, és az alapértelmezett minimális TLS-verziót 1.2-re emelte. A tömörítés kezelését is megváltoztatta, így a tömörítést kínáló partner elutasításra kerül, hacsak a konfiguráció kifejezetten nem engedi, és elavulttá tette a régebbi opcióneveket, például a ns-cert-type-t a remote-cert-tls javára. E változások mindegyike egy korábban működő konfigurációt elemzési vagy egyeztetési hibává tesz.

A hiba módja a direktívától függ. Egy ismeretlen vagy eltávolított opció leállítja a daemont indításkor, ez a halott listener. Az egyeztetési eltérés futni hagyja a daemont és elutasítja a klienseket, ami kliensoldalról tűzfalproblémának tűnik.

A napló első hibáját olvassa, ne az utolsót. Az elemzés az első hibás direktívánál megáll, és minden utána a leállás zaja.

A Broadcom-specifikus előfeltételek

A Broadcom buildeken az alagút-eszköznek léteznie kell, mielőtt a daemon használhatja. Ellenőrizze, hogy a tun modul be van töltve, és hogy /dev/net/tun jelen van, mert egy hiányzó eszköz olyan indítási hibát okoz, amelynek semmi köze a tanúsítványokhoz. Ugyanez vonatkozik a segédszkriptekre, amelyeket a DD-WRT az útvonalakhoz és a DNS-hez generál: ha hiányoznak vagy nem futtathatók, a daemon elindulhat, és mégsem fejezi be a beállítását.

Futtassa a daemont előtérben nagyobb részletességgel a generált konfiguráció ellen, amikor a valódi üzenetre van szüksége. Az előtéri futás kiírja azt az elemzési hibát, amelyet az init szkript lenyelt.

Utána állítsa vissza a normál szolgáltatást, mert az előtéri daemon és az init szkript versengeni fog a portért.

Bizonyítsa, hogy a listener létezik, mielőtt a klienseket hibakeresi

Erősítse meg külön a folyamatot és a socketet: egy parancs a futó daemonhoz, egy másik a várt címen kötött UDP-porthoz. A socket nélküli folyamat azt jelenti, hogy még beállítás alatt áll, vagy a rossz interfészhez van kötve. A pár azért hasznos teszt, mert az egyik fele nem lehet igaz a másik nélkül.

A kliensoldali hibakeresésnek csak akkor van értelme, ha a listener létezik. Akkor ellenőrizze, hogy a kliens titkosítása és TLS-beállításai megfelelnek-e a szerver data-ciphers listájának és minimális verziójának, és hogy a port valóban továbbítva van-e az útválasztóhoz.

Őrizze meg a generált konfigurációt és azt a naplósort, amely bizonyította a javítást. A következő firmware-frissítés ismét megváltoztathatja az alapértelmezéseket, és ez a feljegyzés az, ami az ismétlődést ötperces ellenőrzéssé teszi.