Netgear OpenVPN: TUN жана TAP ар башка порттордо угат

Телефон маршрутизатордун VPNине эч кандай нааразылыксыз туташат, ал эми ошол эле жүктөө баракчасындагы профилди колдонгон ноутбук убакыт өтүп кетет. Бул эки аракеттин ортосунда сертификаттар боюнча эч нерсе өзгөргөн жок, анткени ноутбук сертификаттар маанилүү болгон чекитке такыр жеткен эмес. Маршрутизатор TUN жана TAP үчүн өзүнчө угуучуларды жарыялайт, ал эми иштеген профиль өзүнүн түзмөк түрүнө тиешелүүсүн тандашы керек.

Үч мүмкүн болгон кемчиликтин кайсынысын кууп жүрүүнү чечүү бул жерде бүткүл иш: порт, түзмөк түрү же маалымат каналынын шифр сүйлөшүүсү.

Дал келиши керек болгон үч нерсе

Түзмөк түрү, профилдин интерфейс сабы жана угуучу порту үч эмес, бир тандоо түзөт. dev tun деп жарыялаган жана TAP угуучусуна багытталган профиль сессияны аяктай албайт, ал эми тескерисинче так ушундай эле ишке ашпайт. Өзүңүздүн моделина жана микропрограммаңызга ылайык портту колдонмодон эмес, маршрутизатордун өзүнүн VPN баракчасынан окуңуз, анткени сандар версиялардын ортосунда өзгөрөт. Модель жана микропрограмма версиясын ошол сандын жанына жазып коюңуз, кийинки адам текшере алат.

Талаа отчеттору бир микропрограммада TUN үчүн 12973 жана TAP үчүн 12974 сыяктуу жупту, экинчисинде башка санды айтышат. Аларды версиялардын айырмаланганынын далили катары окуңуз, көчүрүлүүчү туруктуулар катары эмес. Андан кийин профилге аралыкка ылайыктуу хост аты керек: өзгөрүлүүчү WAN дареги эмес, маршрутизатордун динамикалык DNS аты.

Портту жана интерфейс сабын оңдогондон кийин профиль бир remote сабы жана бир dev сабы бар кадимки клиент конфигурациясына окшош көрүнөт. Экөө дал келбесе, канча жолу кайталасаңыз да сессия пайда болбойт.

Журналды басылган тартибинде окуңуз

OpenVPN клиенти окуяларды болгон тартибинде билдирет, ошондуктан үнсүздүктөн мурунку акыркы сап текшерилүүчү катмарды аныктайт. Жүгүртүү TLS Error: TLS key negotiation failed сабында бүтсө же жөн гана биринчи жоопту күтүп, баш тартса, сертификаттарды салыштыруу такыр болгон эмес. Бул жеткиликтүүлүккө, угуучуга же артында эч нерсе жок портко ишарат кылат. Алардын эч бири CA файлын алмаштыруу менен оңдолбойт.

VERIFY OK сабына жетип, анан ишке ашпаган жүгүртүү такыр башка жерде, өз себептери менен. Файлдарга тийүүдөн мурун бул эки жыйынтыкты ажыратуу такыр суралбаган сертификаттардын топтомдору аркылуу өтүүчү классикалык айланма жолдун алдын алат. Кол алышуу бүтсө да туннель көтөрүлбөсө, жеткиликтүүлүккө эмес, шифр сүйлөшүүсүнө көңүл буруңуз.

Заманбап клиент күткөн шифрлардын тизмесин кошуңуз

Акыркы OpenVPN клиенттери үй микропрограммасы азыркыга чейин сунуштаган эски демейки маанилерди четке кагат, ал эми белгиси ийгиликтүү кол алышуудан кийин дароо сүйлөшүүнүн ишке ашпашы. Оңдоо — клиент эмнени кабыл аларын атаган бир профиль сабы: data-ciphers маанисин ушул тартипте AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 жана AES-128-CBC кылып коюңуз. Маршрутизатор ишке ашырбаган кандайдыр бир алгоритм жөн гана такыр тандалбайт, ошондуктан узунураак тизме бир аз узагыраак сүйлөшүүдөн башка эч нерсе турбайт.

Шифрларды тизмелөө маршрутизаторго анда жок нерсени үйрөтпөйт. Сүйлөшүү дагы эле ишке ашпаса, маршрутизатордун баракчасында өзүнүн шифр жөндөөсү бар-жогун жана ал жөндөөдө клиент кабыл алган жок дегенде бир жазуу бар-жогун текшериңиз. Жалпы мүчөсү жок эки тизме туура эмес порт сыяктуу так эле ишке ашпоого алып келет, ошондуктан эки четин тең карап чыгууга татыктуу.

Көчүрмөлөрдү кол менен оңдоонун ордуна бир жолу импорттоңуз

Оңдолгон файлды NetworkManagerге импорттоо бир аз башкача профилдерге толгон папкадан сактайт: nmcli connection import type openvpn file client.ovpn, анан аны аты боюнча көтөрүңүз. Импорттолгон профилди сиз оңдогон жалгыз көчүрмө катары карманыңыз жана кайталама жүктөөлөрдөн чогулган көчүрмөлөрдү өчүрүңүз.

Анан LANдан тышкары жерден сынаңыз. Ошол эле тармактан туташуу өтө аз нерсени далилдейт, анткени трафик туннелден такыр өтпөшү мүмкүн. Сурам чындыгында маршрутизатор аркылуу чыгарын ырастаңыз, клиент туташкан абалды көрсөткөнү эле жетишсиз.

Эскертүүлөр менен эмне кылууну чечиңиз

Үй микропрограммасы адатта өзүнүн сертификат органын түзөт, ал эми клиенттер текшерүү боюнча микропрограмма баса албаган жолдор менен нааразы болушат. Ар бир эскертүүнү өлүмгө алып келүүчү деп эсептөөнүн ордуна, ал нааразычылык сиз коргоп жаткан нерсе үчүн маанилүүбү, ошону баалаңыз жана бир билдирүүнү басыш үчүн текшерүүнү глобалдык түрдө өчүрбөңүз. Сиз баалаган эскертүү — документтелген тобокелдик; өчүргөн текшерүү жөндөөңүз — документтелбеген.

Микропрограмма чындыгында маанилүү эскертүүнү оңдоонун колдоого алынган жолун бербесе, бул боштук VPNди башка жерде жайгаштыруунун пайдасына сүйлөйт. Профилди оңдоо, эскертүүнү кабыл алуу жана акыркы чекитти жылдыруунун ортосундагы тандоо — ошол сертификатка канчалык ишенериңиз жөнүндө чечим. Аны атайылап кабыл алыңыз жана кайсы вариантты тандаганыңызды жазып коюңуз, белгиче жашыл болгонго чейин диалогдорду басуунун ордуна.