რატომ არ იმპორტირდება OpenVPN პროფილი SoftEther-ში

ორი ფაილი, რომლებიც ორივე VPN კონფიგურაციას ჰგავს, ერთსა და იმავე საქაღალდეში ხვდება და მათგან მხოლოდ ერთი მუშაობს. OpenVPN პროფილი აღწერს TLS გვირაბს იმ ინსტრუქციებით, რომლებსაც ეს კლიენტი იგებს, ხოლო SoftEther კავშირი აღწერს სესიას ვირტუალური ჰაბის მიმართ სხვა აუთენტიფიკაციის ხელშეკრულებით. ერთის მეორედ გარდაქმნა ფორმატირების ვარჯიში არ არის, რადგან ორი კლიენტი ერთსა და იმავე პროტოკოლს არ ახორციელებს. იმის დადგენა, თუ რომელი სერვისი გამოაქვეყნა ოპერატორმა სინამდვილეში, წყვეტს ყველაფერს, რაც შემდეგ მოდის.

ორი ფაილი, ორი ხელშეკრულება

OpenVPN პროფილი კლიენტის კონფიგურაციაა: დისტანციური საბოლოო წერტილი, ტრანსპორტი, TLS მასალა და ინსტრუქციები მარშრუტიზაციისა და ხელახალი მოლაპარაკებისთვის. SoftEther კავშირი მშობლიური კლიენტის სესიაა ვირტუალური ჰაბის მიმართ, რომელზეც ვირტუალური ადაპტერია მიმაგრებული.

მათ შეუძლიათ აღწერონ წვდომა ერთსა და იმავე ქსელზე, თუმცა ურთიერთშემცვლელნი არ არიან. OpenVPN მსმენელი თავსებადობის ფუნქციაა, რომელიც სერვერს შეუძლია ცალკე პორტზე გამოაქვეყნოს, და ის მშობლიური პროტოკოლის ნაცვლად OpenVPN-ს ლაპარაკობს. მშობლიური კლიენტი მშობლიურ პროტოკოლს ლაპარაკობს და საკუთარ პროფილს ელოდება. ერთი სერვერი, ორი კარი და თითოეულ კარს თავისი გასაღები აქვს.

ფაილის გაფართოება თითქმის არაფერს გეუბნებათ, ამიტომ ოპერატორის პასუხი ფაილის სახელზე უფრო მნიშვნელოვანია.

წაიკითხეთ სერვერი, სანამ სერტიფიკატის ბლოკს შეეხებით

ჰკითხეთ ოპერატორს სამი რამ: რომელი პორტი და ტრანსპორტი, რომელი აუთენტიფიკაციის მეთოდი და რომელ კლიენტს ელოდებიან თქვენგან. ეს პასუხები ვარაუდების უმეტეს ნაწილს აქრობს.

შემდეგ დაადასტურეთ, თუ რა უსმენს სინამდვილეში და არა რას ამბობს სახელმძღვანელო. გამორთული თავსებადობის მსმენელი თავის პორტზე არაფერს აჩვენებს, ხოლო ჩართული სოკეტს აჩვენებს მაშინაც კი, როცა არასდროს არავის დაუკავშირებია. სხვაობა დახურულ პორტსა და უარყოფილ შესვლას შორის პირველი სასარგებლო დიაგნოსტიკაა. ყველაფერი ამის შემდეგ დამოკიდებულია იმაზე, რომელ კარს დაუკაკუნეს.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

მსმენელთა სიაში არმყოფი UDP პორტი გამორთული ფუნქციაა და არა ფაირვოლის პრობლემა.

რა სჭირდება მშობლიურ კლიენტს და რას ვერ მისცემს პროფილი

მშობლიური კლიენტი აყენებს ვირტუალურ ქსელურ ადაპტერს და კავშირს მასზე ამაგრებს. ამ ადაპტერის გარეშე არ არსებობს ინტერფეისი მარშრუტიზაციისთვის, ამიტომ მშობლიურმა კავშირმა შეიძლება აუთენტიფიკაცია გაიაროს და მაინც ვერ გადაიტანოს ტრაფიკი.

მშობლიური აუთენტიფიკაცია ხდება ვირტუალური ჰაბის მიმართ, ჰაბის ადმინისტრატორის მიერ შექმნილი მომხმარებლის ობიექტით. OpenVPN პროფილიდან კოპირებული სერტიფიკატის ბლოკები ჰაბის მომხმარებლებად არ იქცევიან, ხოლო ჰაბის მომხმარებელი კლიენტის სერტიფიკატად არ იქცევა. ორი სისტემა სხვადასხვა რამეს ინახავს და პროფილს არსად აქვს ადგილი ჰაბის მომხმარებლის ჩანაწერისთვის. ეს სტრუქტურული განსხვავებაა და არა სინტაქსის პრობლემა.

შეინახეთ პირადი გასაღები ნებისმიერი გარდამქმნელი სერვისისგან მოშორებით, რადგან მანქანის დატოვებული გასაღები გამჟღავნებულად უნდა ჩაითვალოს.

რას იღებს OpenVPN-თან თავსებადი მსმენელი

თავსებადობის მსმენელი კლიენტის თვალსაზრისით ნამდვილი OpenVPN სერვერია: ის ელოდება OpenVPN კლიენტს და იმ ინსტრუქციებს, რომლებსაც ეს კლიენტი მხარს უჭერს. ჩაშენებული სერტიფიკატის ბლოკები OpenVPN-ის ფუნქციაა და ისინი ღობის იმ მხარეს განეკუთვნება.

რასაც არ გააკეთებს, არის მშობლიური SoftEther პროფილის მიღება, რადგან ეს პროფილი OpenVPN კონფიგურაცია არ არის. მსმენელი მშობლიურ კლიენტს OpenVPN კლიენტადაც არ აქცევს. თუ ოპერატორი მხოლოდ მშობლიურ სერვისს გვთავაზობს, პასუხი მშობლიური კლიენტია; თუ ის თავსებადობის მსმენელს გვთავაზობს, პასუხი OpenVPN და მისი საკუთარი მასალაა.

მოითხოვეთ ოპერატორის მხარდაჭერილი ექსპორტი ნაწყვეტებისგან ერთის აწყობის ნაცვლად, რადგან ექსპორტი ატარებს დეტალებს, რომლებსაც ხელით აწყობილი ფაილი ჩვეულებრივ გამოტოვებს.

დაამტკიცეთ გზა ინსტრუქციების რედაქტირებამდე

კლიენტის არჩევის შემდეგ შეამოწმეთ გვირაბი მარშრუტებზე შეხებამდე. წარმატებული შესვლა და ტრაფიკის მატარებელი ინტერფეისი ორი განსხვავებული შედეგია.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

შეადარეთ მინიჭებული მისამართი ოპერატორის მიერ აღწერილ აუზს, შემდეგ ცალ-ცალკე შეხედეთ მარშრუტებსა და გადამწყვეტს. მშობლიური ჰაბის კავშირმა შეიძლება სუფთად გაიაროს აუთენტიფიკაცია და საერთოდ არ დააყენოს მარშრუტები, რაც კლიენტის მხრიდან გატეხილ გვირაბად გამოიყურება. მხოლოდ მაშინ, როცა ეს სამი ერთმანეთს ემთხვევა, ღირს ინსტრუქციის რედაქტირება. ადრე რედაქტირება მალავს, რომელი ფენა იყო არასწორი.