Netgear OpenVPN: TUN და TAP სხვადასხვა პორტზე უსმენენ

ტელეფონი უპრობლემოდ უკავშირდება მარშრუტიზატორის VPN-ს, ხოლო იმავე ჩამოტვირთვის გვერდიდან პროფილის გამოყენებული ლეპტოპი დროში იწურება. ამ ორ ცდას შორის სერტიფიკატებში არაფერი შეცვლილა, რადგან ლეპტოპი ვერასოდეს მივიდა იმ წერტილამდე, სადაც სერტიფიკატებს მნიშვნელობა აქვთ. მარშრუტიზატორი TUN-ისა და TAP-ისთვის ცალკე მსმენელებს აქვეყნებს და მოქმედი პროფილი უნდა აირჩიოს ის, რაც მის საკუთარ მოწყობილობის ტიპს ეკუთვნის.

გადაწყვეტა, სამი შესაძლო ხარვეზიდან რომელს მივდიოთ, აქ მთელი სამუშაოა: პორტი, მოწყობილობის ტიპი თუ მონაცემთა არხის შიფრის მოლაპარაკება.

სამი რამ, რომლებიც უნდა დაემთხვეს

მოწყობილობის ტიპი, პროფილის ინტერფეისის ხაზი და მსმენელის პორტი ერთ არჩევანს ქმნიან, არა სამს. პროფილი, რომელიც dev tun-ს აცხადებს და TAP-ის მსმენელზეა მიმართული, ვერ დაასრულებს სესიას, და პირიქითაც იგივენაირად ფარცხდება. თქვენი მოდელისა და firmware-ისთვის პორტი წაიკითხეთ თავად მარშრუტიზატორის VPN გვერდიდან და არა სახელმძღვანელოდან, რადგან რიცხვები ვერსიებს შორის იცვლება. ჩაწერეთ მოდელი და firmware-ის ვერსია ამ რიცხვის გვერდით, რომ შემდეგმა ადამიანმა შეძლოს მისი გადამოწმება.

ველის ანგარიშები ახსენებენ წყვილს, მაგალითად 12973 TUN-ისთვის და 12974 TAP-ისთვის ერთ firmware-ზე, და სხვა რიცხვს მეორეზე. წაიკითხეთ ისინი როგორც მტკიცებულება იმისა, რომ ვერსიები განსხვავდება, და არა როგორც კოპირებადი მუდმივები. შემდეგ პროფილს სჭირდება მანძილის შესაბამისი ჰოსტის სახელი: მარშრუტიზატორის დინამიკური DNS სახელი და არა WAN მისამართი, რომელიც შეიცვლება.

პორტისა და ინტერფეისის ხაზის გასწორების შემდეგ პროფილი ჩვეულებრივი კლიენტის კონფიგურაციას ჰგავს, ერთი remote ხაზით და ერთი dev ხაზით. თუ ეს ორი არ ემთხვევა, გამეორების არც ერთი რაოდენობა სესიას არ ქმნის.

წაიკითხეთ ჟურნალი იმ თანმიმდევრობით, რომლითაც იბეჭდება

OpenVPN კლიენტი მოვლენებს აცნობს მათი მოხდენის თანმიმდევრობით, ამიტომ სიჩუმემდე ბოლო ხაზი განსაზღვრავს შესამოწმებელ ფენას. როცა გაშვება მთავრდება TLS Error: TLS key negotiation failed-ზე, ან უბრალოდ ელოდება პირველ პასუხს და ნებდება, სერტიფიკატების შედარება არასდროს მომხდარა. ეს მიუთითებს ხელმისაწვდომობაზე, მსმენელზე ან პორტზე, რომლის უკანაც არაფერია. არც ერთი მათგანი არ სწორდება CA ფაილის შეცვლით.

გაშვება, რომელიც VERIFY OK-მდე აღწევს და შემდეგ ფარცხდება, სულ სხვა ადგილასაა, საკუთარი მიზეზებით. ამ ორი შედეგის გარჩევა ფაილებზე შეხებამდე ხელს უშლის კლასიკურ შემოვლით გზას იმ სერტიფიკატების პაკეტებში, რომლებზეც არასდროს არავინ უკითხავს. როცა ხელის ჩამორთმევა დასრულდა, მაგრამ გვირაბი არ ადის, შეხედეთ შიფრის მოლაპარაკებას და არა ხელმისაწვდომობას.

დაამატეთ შიფრების სია, რომელსაც თანამედროვე კლიენტი ელოდება

ბოლო OpenVPN კლიენტები უარყოფენ ძველ ნაგულისხმევებს, რომლებსაც სამომხმარებლო firmware ჯერ კიდევ გვთავაზობს, და სიმპტომია მოლაპარაკების წარუმატებლობა წარმატებული ხელის ჩამორთმევისთანავე. გამოსწორება პროფილის ერთი ხაზია, რომელიც ასახელებს, რას მიიღებს კლიენტი: დააყენეთ data-ciphers ამ თანმიმდევრობით: AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 და AES-128-CBC. ნებისმიერი ალგორითმი, რომელსაც მარშრუტიზატორი არ ახორციელებს, უბრალოდ არასდროს ირჩევა, ამიტომ უფრო გრძელი სია არაფერი ღირს გარდა ოდნავ უფრო ხანგრძლივი მოლაპარაკებისა.

შიფრების ჩამოთვლა მარშრუტიზატორს არ ასწავლის იმას, რაც არ აქვს. თუ მოლაპარაკება კვლავ ფარცხდება, შეამოწმეთ, აქვს თუ არა მარშრუტიზატორის გვერდს საკუთარი შიფრის პარამეტრი და შეიცავს თუ არა ეს პარამეტრი სულ მცირე ერთ ჩანაწერს, რომელსაც კლიენტი იღებს. ორი სია საერთო წევრის გარეშე იძლევა ზუსტად იმავე წარუმატებლობას, რასაც არასწორი პორტი, ამიტომ ორივე ბოლო ყურადღებას იმსახურებს.

ერთხელ შემოიტანეთ, ნაცვლად იმისა, რომ ასლები ხელით შეცვალოთ

გასწორებული ფაილის NetworkManager-ში შემოტანა გვაცილებს საქაღალდეს, სავსეს ოდნავ განსხვავებული პროფილებით: nmcli connection import type openvpn file client.ovpn, შემდეგ ასწიეთ იგი სახელით. შეინახეთ შემოტანილი პროფილი როგორც ერთადერთი ასლი, რომელსაც არედაქტირებთ, და წაშალეთ დუბლიკატები, რომლებიც განმეორებითი ჩამოტვირთვებიდან გროვდება.

შემდეგ სცადეთ LAN-ის გარეთ. იმავე ქსელიდან დაკავშირება ძალიან ცოტას ამტკიცებს, რადგან ტრაფიკმა შეიძლება საერთოდ არ გაიაროს გვირაბში. დაადასტურეთ, რომ მოთხოვნა ნამდვილად გადის მარშრუტიზატორზე, და არა მხოლოდ ის, რომ კლიენტი აჩვენებს დაკავშირებულ მდგომარეობას.

გადაწყვიტეთ, რა ვუყოთ გაფრთხილებებს

სამომხმარებლო firmware ჩვეულებრივ თავის სერტიფიკატის ორგანოს ქმნის, და კლიენტები შემოწმებაზე ისე ჩივიან, რომ firmware ამას ვერ ახშობს. შეაფასეთ, მნიშვნელოვანია თუ არა ის ჩივილი იმისთვის, რასაც იცავთ, ყოველი გაფრთხილების სასიკვდილოდ მიჩნევის ნაცვლად, და ნუ გამორთავთ შემოწმებას გლობალურად ერთი შეტყობინების ჩასახშობად. თქვენ მიერ შეფასებული გაფრთხილება დოკუმენტირებული რისკია; გამორთული შემოწმების პარამეტრი კი არადოკუმენტირებული.

როცა firmware არ გთავაზობთ იმ გაფრთხილების გასწორების მხარდაჭერილ გზას, რომელსაც ნამდვილად აქვს მნიშვნელობა, ეს ხარვეზი VPN-ის სხვაგან ჰოსტინგის სასარგებლოდ მეტყველებს. არჩევანი პროფილის შეკეთებას, გაფრთხილების მიღებასა და საბოლოო წერტილის გადატანას შორის გადაწყვეტილებაა იმაზე, რამდენად ენდობით ამ სერტიფიკატს. მიიღეთ იგი განზრახ და ჩაწერეთ, რომელი ვარიანტი აირჩიეთ, ნაცვლად იმისა, რომ დიალოგებზე დააწკაპუნოთ მანამ, სანამ ხატულა მწვანე გახდება.