Netgear OpenVPN: TUN dan TAP mendengarkan di port berbeda

Ponsel terhubung ke VPN router tanpa keluhan, sedangkan laptop yang memakai profil dari halaman unduhan yang sama kehabisan waktu. Tidak ada yang berubah pada sertifikat di antara kedua percobaan itu, karena laptop tidak pernah mencapai titik saat sertifikat menjadi penting. Router menerbitkan pendengar terpisah untuk TUN dan TAP, dan profil yang berfungsi harus memilih yang sesuai dengan jenis perangkatnya sendiri.

Memutuskan cacat mana dari tiga kandidat yang harus dikejar adalah seluruh pekerjaan di sini: port, jenis perangkat, atau negosiasi cipher kanal data.

Tiga hal yang harus sesuai

Jenis perangkat, baris antarmuka profil dan port pendengar membentuk satu pilihan, bukan tiga. Profil yang menyatakan dev tun dan diarahkan ke pendengar TAP tidak dapat menyelesaikan sesi, dan sebaliknya gagal dengan cara yang sama. Untuk model dan firmware Anda, baca port dari halaman VPN router itu sendiri, bukan dari panduan, karena angkanya bergeser antarversi. Tulis model dan versi firmware di samping angka itu agar orang berikutnya bisa memverifikasinya.

Laporan dari lapangan menyebut pasangan seperti 12973 untuk TUN dan 12974 untuk TAP pada satu firmware, dan angka berbeda pada firmware lain. Bacalah sebagai bukti bahwa versi berbeda, bukan sebagai konstanta untuk disalin. Profil kemudian memerlukan nama host yang sesuai jarak: nama DNS dinamis router, bukan alamat WAN yang akan berubah.

Setelah memperbaiki port dan baris antarmuka, profil tampak seperti konfigurasi klien biasa dengan satu baris remote dan satu baris dev. Jika keduanya tidak sesuai, berapa kali pun diulang tidak menghasilkan sesi.

Baca log sesuai urutan cetaknya

Klien OpenVPN melaporkan peristiwa sesuai urutan terjadinya, sehingga baris terakhir sebelum hening menunjukkan lapisan yang perlu diperiksa. Ketika proses berakhir pada TLS Error: TLS key negotiation failed, atau hanya menunggu tanggapan pertama lalu menyerah, perbandingan sertifikat tidak pernah terjadi. Itu menunjuk ke keterjangkauan, ke pendengar, atau ke port yang tidak ada apa pun di belakangnya. Tidak satu pun dari itu diperbaiki dengan mengganti berkas CA.

Proses yang mencapai VERIFY OK lalu gagal berada di tempat yang sama sekali lain, dengan penyebabnya sendiri. Memisahkan kedua hasil itu sebelum menyentuh berkas mencegah jalan memutar klasik lewat bundel sertifikat yang tidak pernah ditanyakan. Setelah handshake selesai tetapi terowongan tidak naik, lihat negosiasi cipher alih-alih keterjangkauan.

Tambahkan daftar cipher yang diharapkan klien modern

Klien OpenVPN terbaru menolak default lama yang masih ditawarkan firmware konsumen, dan gejalanya adalah kegagalan negosiasi tepat setelah handshake berhasil. Perbaikannya satu baris profil yang menyebutkan apa yang akan diterima klien: setel data-ciphers ke AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305, dan AES-128-CBC dalam urutan itu. Algoritme apa pun yang tidak diterapkan router tidak akan pernah dipilih, jadi daftar lebih panjang tidak memakan biaya selain negosiasi sedikit lebih lama.

Mencantumkan cipher tidak mengajari router satu pun yang tidak dimilikinya. Jika negosiasi masih gagal, periksa apakah halaman router punya pengaturan cipher sendiri dan apakah pengaturan itu memuat setidaknya satu entri yang diterima klien. Dua daftar tanpa anggota bersama menghasilkan kegagalan yang persis sama dengan port yang salah, itulah sebabnya kedua ujungnya layak diperiksa.

Impor sekali saja alih-alih menyunting salinan dengan tangan

Mengimpor berkas yang telah diperbaiki ke NetworkManager menghindari folder penuh profil yang sedikit berbeda: nmcli connection import type openvpn file client.ovpn, lalu aktifkan berdasarkan nama. Simpan profil hasil impor sebagai satu-satunya salinan yang Anda sunting, dan hapus duplikat yang menumpuk dari unduhan berulang.

Lalu uji dari luar LAN. Menyambung dari jaringan yang sama membuktikan sangat sedikit, karena lalu lintas mungkin tidak melewati terowongan sama sekali. Pastikan permintaan benar-benar keluar lewat router, bukan sekadar bahwa klien menampilkan status terhubung.

Putuskan apa yang harus dilakukan dengan peringatan

Firmware konsumen biasanya mencetak otoritas sertifikatnya sendiri, dan klien mengeluh tentang verifikasi dengan cara yang tidak dapat ditekan firmware. Nilailah apakah keluhan itu penting bagi yang Anda lindungi alih-alih menganggap setiap peringatan fatal, dan jangan mematikan verifikasi secara global hanya untuk membungkam satu pesan. Peringatan yang sudah Anda nilai adalah risiko yang terdokumentasi; pengaturan verifikasi yang Anda matikan adalah risiko yang tidak terdokumentasi.

Ketika firmware tidak menyediakan cara yang didukung untuk memperbaiki peringatan yang benar-benar penting, celah itu menjadi alasan untuk meng-hosting VPN di tempat lain. Memilih antara memperbaiki profil, menerima peringatan, dan memindahkan titik akhir adalah keputusan tentang seberapa besar Anda memercayai sertifikat itu. Ambillah dengan sengaja, dan catat opsi mana yang Anda pilih, alih-alih mengklik dialog sampai ikonnya menjadi hijau.