Сіздің PiVPN профиліңізді шын мәнінде қай OpenVPN данасы пайдаланып жатыр?

PiVPN сервер конфигурациясы мен клиент профилін жазып, содан кейін шығады; ол ешқашан сіздің трафигіңізді тасымалдайтын процеске айналмайды. Сондықтан сәтсіз қол алысу, дұрыс емес соңғы нүктеге қоңырау шалатын клиент немесе қайта жүктеуден кейін дұрыс емес оралатын қызмет орнатушы мәзірлерінен түсіндіріле алмайды. Бұл белгілер қазір жұмыс істеп тұрған OpenVPN демонына, сол демон шын мәнінде жүктеген конфигурацияға және ол бағытталған журналға тиесілі. Төрт тек-оқу командасы мұны әдетте шешеді, және олардың ешқайсысы сертификаттарыңызды немесе кілттеріңізді өзгертпейді.

Көмекші мен демон — әртүрлі нысандар

Шатасуды түсіндіру оңай: бір қалтада көмекші жасаған файл, демон оқитын файл, кейде екеуінің ескірген көшірмесі бірге тұрады. Көмекші — бұл дайындау скрипті. Ол пакеттерді орнатады, бірлік файлдарын жазады және клиент профилін шығарады, содан кейін оның жұмысы аяқталады. Қалғаны — қызмет менеджеріндегі жазба мен бір командалық жол.

systemd хостта қалта тізімінен емес, белсенді бірліктен бастаңыз. Атауы қаптамаға байланысты: Debian және Raspberry Pi OS бейнелері әдетте үлгі данасын ұсынады, мысалы openvpn-server@server, ал ескі орнатулар openvpn@server қолданады. Файл атауынан болжаудың орнына менеджерден қайсысы жұмыс істеп тұрғанын сұраңыз.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Оқыңыз ExecStart= сол шығыстан. Ол орындалатын файлды және менеджер шын мәнінде іске қосатын опцияларды, соның ішінде кез келген --config жолды атайды; жанында жатқан және ешбір команда сілтемейтін конфигурация файлы жұмыс істеп тұрған туннельдің бөлігі емес.

Демон шешкен конфигурация тізбегін қадағалаңыз

OpenVPN параметрлер үшін қалтаны сканерлемейді. Ол --config арқылы берілген файлды оқиды, ішіндегі кез келген config директиваны қадағалайды, содан кейін командалық жол опцияларын қолданады. Нұсқаулық 2.6 сол ретті сипаттайды және екі файл порт, құрылғы немесе шифрлау туралы келіспегенде бұл маңызды.

Алдымен нақты шақыруды шығарыңыз, содан кейін сәйкестік пен қолжетімділікті анықтайтын директиваларды қараңыз. Екі команда да тек-оқу және жұмыс істеп тұрған серверде қауіпсіз, бірақ екіншісі ашық билетте қаламауыңыз мүмкін жолдарды басып шығарады.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Үй қалтасындағы .ovpn файлы клиент артефактісі. Сервер демоны оны ешқашан оқымайды, сондықтан сервер жағындағы қол алысу ақауын түзету үшін сол файлды өңдеу ештеңе бермейді.

Қосулар — екінші тұзақ. Жол config екінші файлды тартады, оның опциялары сол жерде өңделеді, сондықтан кейінгі бір мәнді директива негізгі файл айтып тұрғандай нәрсені басып кетуі мүмкін. Көрінетін файл дұрыс көрінсе де демон әлі басқаша әрекет етсе, бірдеңені өзгертуден бұрын қосылған файлды оқыңыз.

Журналды есте қалған қатеге емес, процеске сәйкестендіріңіз

Екі журнал мақсаты жиі кездеседі, және олардың тек біреуі journal болып табылады. log-append орнатылғанда демон сол файлға жазады, ал journal іске қосылу жолдарынан басқа аз нәрсе сақтайды. Онсыз journalctl оқиғалар көзі болып табылады.

journalctl -u openvpn-server@server -n 80 --no-pager

Бір қосылу әрекетін бір уақыт терезесімен байланыстырыңыз. Клиенттің соңғы нүктесін жазып алыңыз, содан кейін сол секундтардағы сервер оқиғаларын оқыңыз. Сертификат алмасуға ешқашан жетпейтін TLS қол алысуы қолжетімділікке немесе хаттама үйлесімсіздігіне нұсқайды, ал аутентификациядан бас тарту туннель параметрлері келісілгеннен кейін келеді.

Ескі журнал жазбасы бес минут бұрын жүктелген профиль туралы ештеңе дәлелдемейді. Клиент файлын қайта жасаңыз, бір рет қосылыңыз және сол әрекет кезінде пайда болған жолдарды ғана оқыңыз.

Соңғы жалпы қатенің орнына алғашқы нақты сәтсіздікті жазыңыз. Байланыстыру қатесі, жауапсыз сыртқы алмасу, сертификаттан бас тарту және тіркелгіден бас тарту әрқайсысы сізді басқа қабатқа жібереді, ал соңындағы тайм-аут жиі жоғарыдағы пайдалы оқиғаны жасырады.

Туннельді қайта салу диагностикалық қадам емес

Азғыратын қысқа жол — екінші, қарапайым туннельді тұрғызу: статикалық кілт, сертификаттар жоқ, қосымша аутентификация жоқ. Ол жиі қосылады, және тек екі хосттың арасында UDP немесе TCP өткізе алатынын дәлелдейді. Сертификатпен аутентификацияланған орналастырудың неге сәтсіз болатыны туралы ештеңе айтпайды және сақтау сұралған қауіпсіздік моделін үнсіз алмастырады.

Дәл солай tls-auth немесе tls-crypt өшіруге, verify-x509-name әлсіретуге немесе жасыл мәртебе үшін екінші фактордан бас тартуға да қатысты. Тексеру алынып тасталғандықтан қосылатын туннель — басқа жүйе, жөнделген жүйе емес.

Журнал атаған қабатта бір шектеулі өзгеріс жасаңыз, сол бірлікті қайта іске қосыңыз және жалғыз қосылу әрекетін қайталаңыз. Бұл салыстыруды адал ұстайды және кері қайтаруға болатын өзгеріс қалдырады.

Келесі адамға нені тапсыру керек

Төрт фактіні әлі де қолыңызда болғанда жазып алыңыз: OpenVPN нұсқасы openvpn --version шығысынан, белсенді бірлік, қосуларымен конфигурация тізбегі және бір әрекетті қамтитын журнал терезесі. Осы төртеуі бұлыңғыр шағымды қайталауға болатын іске айналдырады.

Бөліспес бұрын құпия деректерді жасырыңыз. Жеке кілттер, auth-user-pass файлдары, статикалық кілт материалы және толық клиент бумалары билетке жатпайды; опция атаулары мен тізбек пішіні әдетте екінші жұп көзге жеткілікті.

Тізбек бүлінбеген болса және журнал әлі де желіге нұсқаса, келесі қадам — клиент пен сервер арасындағы жол, тағы бір орнату емес. Бұл — көмекші ешқашан иеленбеген оқиғаның бір бөлігі.