Hvaða OpenVPN-tilvik er í raun að nota PiVPN-sniðið þitt?

PiVPN skrifar netþjónsstillingu og biðlarasnið og hættir svo; það verður aldrei ferlið sem ber umferðina þína. Þess vegna er ekki hægt að skýra misheppnað handaband, biðlara sem hringir í rangan endapunkt eða þjónustu sem kemur rangt til baka eftir endurræsingu út frá valmyndum uppsetningarforritsins. Þessi einkenni tilheyra þeim OpenVPN-púka sem er í gangi núna, stillingunni sem sá púki hlaði í raun og veru og annálnni sem vísað var á. Fjórar skrifvarðar skipanir leysa þetta venjulega, og engin þeirra breytir vottorðunum þínum eða lyklunum.

Hjálparinn og púkinn eru mismunandi hlutir

Ruglinguna er auðvelt að útskýra: ein mappa geymir skrána sem hjálparinn bjó til, skrána sem púkinn les og stundum úrelt eintak af báðum. Hjálpari er útbúnaðarskript. Það setur upp pakka, skrifar einingarskrár og prentar biðlarasnið, og svo lýkur verki þess. Það sem eftir stendur er færsla í þjónustustjóranum og skipanalína.

Á systemd-vél skaltu byrja á virku einingunni í stað skráalistans. Nafnið fer eftir pökkun: Debian- og Raspberry Pi OS-myndir bjóða oft upp á sniðmátstilvik eins og openvpn-server@server, en eldri uppsetningar nota openvpn@server. Spurðu stjórann hver er í gangi í stað þess að giska út frá skráarnafni.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Lestu ExecStart= í þeirri úttöku. Það nefnir keyrsluskrána og valkostina sem stjórinn ræsir í raun, þar á meðal hvaða --config slóð sem er; stillingarskrá sem liggur hjá og engin skipun vísar á er ekki hluti af gangandi göngunum.

Fylgdu stillingarkeðjunni sem púkinn leysti

OpenVPN skannar ekki möppu eftir stillingum. Það les skrána sem er látin fylgja með --config, fylgir hverri config tilskipun inni í henni og beitir svo valkostum skipanalínunnar. Handbókin 2.6 lýsir þeirri röð, og það skiptir máli þegar tvær skrár eru ósammála um gáttina, tækið eða dulritunina.

Dumpaðu fyrst raunverulegu kallið og skoðaðu svo tilskipanirnar sem ráða auðkenni og aðgengi. Báðar skipanirnar eru skrifvarðar og öruggar á lifandi netþjóni, þótt sú seinni prenti slóðir sem þú vilt kannski ekki í opinberu tilboði.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Skrá .ovpn í heimamöppu er biðlaraafurð. Netþjónspúkinn les hana aldrei, svo að breyta þeirri skrá til að laga handabandsbrest á netþjónshlið gagnast ekki.

Innifellingar eru hin gildran. Lína config dregur inn aðra skrá þar sem valkostirnir eru unnir á þeim stað, svo seinni tilskipun með eitt gildi getur hnekkt því sem aðalskráin virðist segja. Ef sýnilega skráin lítur rétt út og púkinn hagar sér samt öðruvísi skaltu lesa innfelldu skrána áður en þú breytir nokkru.

Paraðu annálna við ferlið, ekki villuna sem þú manst

Tveir annálarstaðir eru algengir, og aðeins annar þeirra er journal. Með log-append stilltu skrifar púkinn í þá skrá og journal geymir lítið umfram ræsileiðir. Án þess er journalctl uppspretta atburða.

journalctl -u openvpn-server@server -n 80 --no-pager

Tengdu eina tengingartilraun við eitt tímaglugga. Skráðu endapunkt biðlarans og lestu svo atburði netþjónsins úr sömu sekúndum. TLS-handaband sem nær aldrei til vottorðaskipta bendir til aðgengis eða samræmisvanda í samskiptareglum, en höfnun auðkenningar kemur eftir að búið er að semja um færibreytur ganganna.

Gömul annálarfærsla sannar ekkert um snið sem þú halaðir niður fyrir fimm mínútum. Endurnýjaðu biðlaraskrána, tengdu einu sinni og lestu aðeins línurnar sem birtust í þeirri tilraun.

Skráðu fyrsta áþreifanlega brestinn, ekki þann síðasta almenna. Bind-villa, ósvarað ytra skipti, höfnun vottorðs og höfnun reiknings senda þig hver í annað lag, og tímamörk í lokin fela oft gagnlega atburðinn fyrir ofan.

Endurbygging ganganna er ekki greiningarskref

Freistandi flýtileið er að reisa önnur, einfaldari göng: kyrrstæður lykill, engin vottorð, engin viðbótarauðkenning. Þau tengjast oft, og það sannar aðeins að tveir vélar geti sent UDP eða TCP sín á milli. Það segir ekkert um hvers vegna uppsetningin með vottorðum brestur, og skiptir hljóðlega út öryggislíkaninu sem þú varst beðinn að halda.

Sama gildir um að slökkva á tls-auth eða tls-crypt, slaka á verify-x509-name, eða sleppa annarri þátttöku til að fá græna stöðu. Göng sem tengjast vegna þess að sannprófun var fjarlægð eru annað kerfi, ekki lagað.

Gerðu eina afmarkaða breytingu í laginu sem annállinn nefndi, endurræstu sömu einingu og endurtaktu einu tengingartilraunina. Það heldur samanburðinum heiðarlegum og skilur eftir breytingu sem þú getur afturkallað.

Hvað á að afhenda næsta manni

Skrifaðu niður fjórar staðreyndir á meðan þú hefur þær enn: OpenVPN-útgáfuna úr openvpn --version, virku eininguna, stillingarkeðjuna með innifellingum og annálargluggann sem nær yfir eina tilraun. Þessar fjórar gera óljósa kvörtun að endurteknum kasa.

Felaðu viðkvæm gögn áður en þú deilir. Einkalyklar, auth-user-pass skrár, kyrrstætt lykliefni og heilir biðlarapakkar eiga ekki heima í tilboði; valkostanöfn og lögun keðjunnar duga venjulega fyrir annað augnpar.

Ef keðjan er heil og annállinn bendir enn á netið, er næsta skref slóðin milli biðlara og netþjóns frekar en önnur uppsetning. Það er eini hlutinn í sögunni sem hjálparinn átti aldrei.