DD-WRT-тегі OpenVPN 2.5 тыңдаушысы өлді ме? Жасалған конфигурацияны оқыңыз

DD-WRT-те өлген тыңдаушы әдетте демон өз конфигурациясын талдау кезінде шығып кеткенін білдіреді, firewall ережесі портты бұғаттағанын емес. OpenVPN 2.5 ескі конфигурациялар сүйенген бірнеше әдепкі мәнді қатайтты, және ескі жинақта жұмыс істеген жасалған конфигурация сокет ашылғанға дейін-ақ қабылданбауы мүмкін. Себебі роутердің өз журналында, ал кіріс жасалған файлда. Екеуін осы ретпен оқу кез келген пакетті ұстаудан жылдамырақ.

Демон — firewall емес

Бұл айырмашылық маңызды, өйткені сырттан екі ақау бірдей көрінеді: клиент handshake жібереді де, ештеңе қайтпайды. Бірі — жұмыс істемейтін процесс, екіншісі — жұмыс істеп, сүзетін процесс.

Бірдеңе өзгертер алдында оларды екі тексерумен ажыратыңыз, өйткені өлген демонға firewall түзетуі тек екінші айнымалыны қосады.

DD-WRT жасаған конфигурацияны оқыңыз

DD-WRT веб-интерфейске терген мәтінді OpenVPN-ге бермейді. Ол жасалған конфигурацияны /tmp/openvpn/openvpn.conf ішіне жазады және демонды сол файлмен іске қосады, сондықтан интерфейс өрістері мен Additional Config-тегі кез келген мәтін OpenVPN оларды көрмей тұрып біріктіріледі. Егер жасалған файлдың орнына форманы жөндесеңіз, нақты кірісті емес, ниетті оқисыз. Қайта жүктеу /tmp тазартпас бұрын сол файлды тұрақты жерге көшіріңіз.

Жасалған файлды көздегеніңізбен салыстырыңыз, әсіресе интерфейс сіз ешқашан таңдамаған директиваны жазатын жерде. Ескірген опцияны шығаратын ашылмалы мәзір формада көрінбейді және демон үшін өлімге әкеледі.

Егер жасалған файл бос немесе жоқ болса, демон іске қосылуға да жетпеген, ал мәселе OpenVPN-нен жоғарыда.

OpenVPN 2.5 қабылдауды не тоқтатты

OpenVPN 2.5 ncp-ciphers орнына data-ciphers қойды және әдепкі ең төменгі TLS нұсқасын 1.2-ге көтерді. Ол сығуды өңдеуді де өзгертті, сондықтан сығуды ұсынатын тарап конфигурация анық рұқсат етпесе қабылданбайды, және ns-cert-type сияқты ескі опция атауларын remote-cert-tls пайдасына ескірген деп жариялады. Осы өзгерістердің әрқайсысы бұрын жұмыс істеген конфигурацияны талдау немесе келіссөз ақауына айналдырады.

Ақау режимі директиваға байланысты. Белгісіз немесе жойылған опция демонды іске қосылуда тоқтатады, бұл сіздің өлген тыңдаушыңыз. Келіссөз сәйкессіздігі демонды жұмыс істеуге қалдырып, клиенттерді қабылдамайды, бұл клиент жағынан firewall мәселесіне ұқсайды.

Журналдағы бірінші қатені оқыңыз, соңғысын емес. Талдау бірінші нашар директивада тоқтайды, ал одан кейінгінің бәрі өшіру шуы.

Broadcom-ға тән алғышарттар

Broadcom жинақтарында туннель құрылғысы демон оны пайдаланбас бұрын болуы керек. tun модулі жүктелгенін және /dev/net/tun бар екенін тексеріңіз, өйткені құрылғының болмауы сертификаттарға қатысы жоқ іске қосылу ақауын тудырады. Дәл сол DD-WRT маршруттар мен DNS үшін жасайтын көмекші скрипттерге де қатысты: олар жоқ болса немесе орындалатын болмаса, демон іске қосылып, бәрібір өз баптауын аяқтай алмауы мүмкін.

Нақты хабарды қажет еткенде демонды жасалған конфигурацияға қарсы жоғары егжей-тегжейлілікпен алдыңғы планда іске қосыңыз. Алдыңғы пландағы іске қосу init скрипті жұтып қойған талдау қатесін басып шығарады.

Содан кейін қалыпты қызметті қалпына келтіріңіз, өйткені алдыңғы пландағы демон мен init скрипті порт үшін таласады.

Клиенттерді жөндеуден бұрын тыңдаушының бар екенін дәлелдеңіз

Процесті және сокетті бөлек растаңыз: біреуі жұмыс істеп тұрған демонға, екіншісі күтілетін мекенжайда байланған UDP портына арналған. Сокетсіз процесс әлі баптауда немесе қате интерфейске байланғанын білдіреді. Бұл жұп пайдалы тест, өйткені бір жартысы екіншісінсіз шын бола алмайды.

Клиент жағындағы жөндеу тыңдаушы бар болғаннан кейін ғана мағыналы. Сонда клиенттің шифры мен TLS баптаулары сервердің data-ciphers тізіміне және ең төменгі нұсқасына сай келетінін, порттың шынымен роутерге жіберілетінін тексеріңіз.

Жасалған конфигурацияны және түзетуді дәлелдеген журнал жолын сақтаңыз. Келесі firmware жаңартуы әдепкі мәндерді қайта өзгертуі мүмкін, және дәл сол жазба қайталауды бес минуттық тексеруге айналдырады.