Netgear OpenVPN: TUN және TAP әр портта тыңдайды

Телефон маршрутизатордың VPN-іне шағымсыз қосылады, ал сол жүктеу бетіндегі профильді қолданатын ноутбук уақыт бітеді. Бұл екі әрекеттің арасында сертификаттарда ештеңе өзгерген жоқ, өйткені ноутбук сертификаттар маңызды болатын нүктеге ешқашан жетпеді. Маршрутизатор TUN мен TAP үшін бөлек тыңдаушыларды жариялайды, ал жұмыс істейтін профиль өз құрылғы түріне тиесілісін таңдауы керек.

Үш ықтимал ақаудың қайсысын қуу керегін шешу осында бүкіл жұмыс: порт, құрылғы түрі немесе деректер арнасының шифр келіссөзі.

Сәйкесуі тиіс үш нәрсе

Құрылғы түрі, профильдің интерфейс жолы және тыңдаушы порты үш емес, бір таңдау құрайды. dev tun деп жариялайтын және TAP тыңдаушысына бағытталған профиль сессияны аяқтай алмайды, ал керісінше дәл солай сәтсіз болады. Өз моделіңіз бен микробағдарламаңыз үшін портты нұсқаулықтан емес, маршрутизатордың өз VPN бетінен оқыңыз, өйткені сандар нұсқалар арасында өзгереді. Модель мен микробағдарлама нұсқасын сол санның қасына жазып қойыңыз, келесі адам тексере алады.

Далалық есептер бір микробағдарламада TUN үшін 12973 және TAP үшін 12974 сияқты жұпты, ал екіншісінде басқа санды атайды. Оларды нұсқалардың өзгеше екендігінің дәлелі ретінде оқыңыз, көшірілетін тұрақтылар ретінде емес. Содан кейін профильге қашықтыққа сай хост атауы қажет: өзгеретін WAN мекенжайы емес, маршрутизатордың динамикалық DNS атауы.

Портты және интерфейс жолын түзеткеннен кейін профиль бір remote жолы және бір dev жолы бар қарапайым клиент конфигурациясына ұқсайды. Екеуі сәйкеспесе, қанша қайталасаңыз да сессия болмайды.

Журналды басылған ретімен оқыңыз

OpenVPN клиенті оқиғаларды болған ретімен хабарлайды, сондықтан тыныштық алдындағы соңғы жол тексерілетін қабатты анықтайды. Жүгіріс TLS Error: TLS key negotiation failed жолымен аяқталса немесе бірінші жауапты күтіп, бас тартса, сертификат салыстыру ешқашан болмаған. Бұл қолжетімділікке, тыңдаушыға немесе артында ештеңе жоқ портқа меңзейді. Олардың ешқайсысы CA файлын ауыстырумен түзелмейді.

VERIFY OK жолына жетіп, содан кейін сәтсіз болатын жүгіріс мүлдем басқа жерде, өз себептерімен. Бұл екі нәтижені файлдарға қол тигізбес бұрын ажырату ешқашан сұралмаған сертификат бумалары арқылы өтетін классикалық айналшақ жолдың алдын алады. Қол алысу аяқталса да туннель көтерілмесе, қолжетімділікке емес, шифр келіссөзіне қараңыз.

Заманауи клиент күтетін шифрлар тізімін қосыңыз

Соңғы OpenVPN клиенттері тұрмыстық микробағдарлама әлі ұсынатын ескі әдепкі мәндерді қабылдамайды, ал белгісі — сәтті қол алысудан кейін бірден келіссөздің сәтсіздігі. Түзету — клиенттің нені қабылдайтынын атайтын бір профиль жолы: data-ciphers мәнін осы ретпен AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 және AES-128-CBC етіп орнатыңыз. Маршрутизатор іске асырмайтын кез келген алгоритм жай ғана ешқашан таңдалмайды, сондықтан ұзағырақ тізім сәл ұзағырақ келіссөзден басқа ештеңе тұрмайды.

Шифрларды тізіп шығу маршрутизаторға онда жоқ нәрсені үйретпейді. Келіссөз әлі де сәтсіз болса, маршрутизатор бетінде өз шифр параметрі бар-жоғын және сол параметрде клиент қабылдайтын кемінде бір жазба бар-жоғын тексеріңіз. Ортақ мүшесі жоқ екі тізім қате порт сияқты дәл сол сәтсіздікті береді, сондықтан екі шет те назарға лайық.

Көшірмелерді қолмен өңдеудің орнына бір рет импорттаңыз

Түзетілген файлды NetworkManager-ге импорттау сәл өзгеше профильдерге толы қалтадан сақтайды: nmcli connection import type openvpn file client.ovpn, содан кейін оны атауы бойынша көтеріңіз. Импортталған профильді өңдейтін жалғыз көшірме ретінде ұстаңыз және қайталама жүктеулерден жиналатын көшірмелерді жойыңыз.

Содан кейін LAN-нан тыс жерден сынаңыз. Сол желіден қосылу өте азды дәлелдейді, өйткені трафик туннель арқылы мүлде өтпеуі мүмкін. Сұраныстың шынымен маршрутизатор арқылы шығатынын растаңыз, клиенттің қосылған күйді көрсетуі жеткіліксіз.

Ескертулермен не істеу керегін шешіңіз

Тұрмыстық микробағдарлама әдетте өз сертификат органын жасайды, ал клиенттер тексеруге микробағдарлама баса алмайтындай шағымданады. Әр ескертуді қатерлі деп санаудың орнына сол шағым қорғап отырған нәрсеңіз үшін маңызды ма, соны бағалаңыз және бір хабарды өшіру үшін тексеруді жаһандық түрде өшірмеңіз. Өзіңіз бағалаған ескерту — құжатталған тәуекел; өшірген тексеру параметрі — құжатталмаған.

Микробағдарлама шынымен маңызды ескертуді түзетудің қолдау көрсетілген жолын ұсынбаса, бұл олқылық VPN-ді басқа жерде орналастырудың пайдасына сөйлейді. Профильді жөндеу, ескертуді қабылдау және соңғы нүктені жылжыту арасындағы таңдау — сол сертификатқа қаншалықты сенетініңіз туралы шешім. Оны әдейі қабылдаңыз және қай нұсқаны таңдағаныңызды жазып қойыңыз, белгіше жасыл болғанша диалогтарды шертудің орнына.