Эмне үчүн OpenVPN профили SoftEtherге импорттолбойт

Экөө тең VPN конфигурациясына окшош эки файл бир папкага түшөт, алардын бирөө гана иштейт. OpenVPN профили ошол кардар түшүнгөн нускамалар менен TLS туннелин сүрөттөйт, ал эми SoftEther туташуусу башка аутентификация келишими бар виртуалдык хабга каршы сессияны сүрөттөйт. Бирөөнү экинчисине айландыруу форматтоо көнүгүүсү эмес, анткени эки кардар бир протоколду ишке ашырбайт. Оператор чынында кайсы кызматты жарыялаганын аныктоо кийинкинин баарын чечет.

Эки файл, эки келишим

OpenVPN профили — кардардын конфигурациясы: алыскы акыркы чекит, ташуу, TLS материалы жана маршруттоо менен кайра сүйлөшүү үчүн нускамалар. SoftEther туташуусу — виртуалдык хабга каршы жергиликтүү кардар сессиясы, ага виртуалдык адаптер тиркелген.

Алар бир эле тармакка кирүүнү сүрөттөй алышат, бирок бири-бирин алмаштыра алышпайт. OpenVPN угуучусу — сервер өзүнчө портто жарыялай ала турган шайкештик функциясы, ал жергиликтүү протоколдун ордуна OpenVPN сүйлөйт. Жергиликтүү кардар жергиликтүү протоколду сүйлөйт жана өз профилин күтөт. Бир сервер, эки эшик, ар бир эшиктин өз ачкычы бар.

Файл кеңейтүүсү сизге дээрлик эч нерсе айтпайт, ошондуктан оператордун жообу файлдын атынан маанилүү.

Сертификат блогун кармаардан мурун серверди окуңуз

Оператордон үч нерсе сураңыз: кайсы порт жана ташуу, кайсы аутентификация ыкмасы жана кайсы кардарды колдонушуңузду күтүшөт. Бул жооптор божомолдордун көбүн жок кылат.

Андан кийин нускама эмне деп айтканын эмес, чындыгында эмне угуп жатканын ырастаңыз. Өчүрүлгөн шайкештик угуучусу өз портунда эч нерсе көрсөтпөйт, ал эми күйгүзүлгөнү эч ким эч качан туташпаса да сокет көрсөтөт. Жабык порт менен четке кагылган кирүүнүн ортосундагы айырма — биринчи пайдалуу диагностика. Андан кийинкинин баары кайсы эшик кагылганына байланыштуу.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Угуучулар тизмесинде жок UDP порту өчүрүлгөн функция, ал эми өрт дубалынын көйгөйү эмес.

Жергиликтүү кардарга эмне керек жана профиль эмнени бере албайт

Жергиликтүү кардар виртуалдык тармак адаптерин орнотуп, туташууну ага байлайт. Ошол адаптерсиз маршруттоо үчүн интерфейс жок, ошондуктан жергиликтүү туташуу аутентификациядан өтүп, баары бир эч кандай трафик ташыбашы мүмкүн.

Жергиликтүү аутентификация виртуалдык хабга каршы жүрөт, хаб администратору түзгөн колдонуучу объектиси менен. OpenVPN профилинен көчүрүлгөн сертификат блоктору хаб колдонуучуларына айланбайт, ал эми хаб колдонуучусу кардар сертификатына айланбайт. Эки система ар башка нерселерди сактайт, профилде хабдын колдонуучу жазуусун коюуга орун жок. Бул синтаксис көйгөйү эмес, түзүмдүк айырма.

Жеке ачкычты кандайдыр бир айландыруу кызматынан тышкары кармаңыз, анткени машинадан чыккан ачкыч ачык деп эсептелиши керек.

OpenVPN менен шайкеш угуучу эмнени кабыл алат

Шайкештик угуучусу кардардын көз карашынан чыныгы OpenVPN сервери: ал OpenVPN кардарын жана ошол кардар колдогон нускамаларды күтөт. Ички сертификат блоктору — OpenVPN функциясы жана алар тосмонун ошол тарабына таандык.

Ал кылбай турганы — жергиликтүү SoftEther профилин кабыл алуу, анткени бул профиль OpenVPN конфигурациясы эмес. Угуучу жергиликтүү кардарды OpenVPN кардарына да айландырбайт. Эгер оператор жалпысынан жергиликтүү кызматты сунуштаса, жооп — жергиликтүү кардар; эгер ал шайкештик угуучусун сунуштаса, жооп — OpenVPN жана анын өз материалы.

Оператордун колдоого алынган экспортун сураңыз аны үзүндүлөрдөн кураштыруунун ордуна, анткени экспорт кол менен жасалган файл адатта өткөрүп жиберген деталдарды алып жүрөт.

Нускамаларды түзөтүүдөн мурун жолду далилдеңиз

Кардар тандалгандан кийин маршруттарга тийүүдөн мурун туннелди сынап көрүңүз. Ийгиликтүү кирүү жана трафик ташыган интерфейс — эки башка жыйынтык.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Берилген даректи оператор сүрөттөгөн пул менен салыштырыңыз, анан маршруттарды жана чечүүчүнү өзүнчө караңыз. Жергиликтүү хаб туташуусу таза аутентификациядан өтүп, такыр маршрут орнотпошу мүмкүн, бул кардар тарабынан сынган туннелдей көрүнөт. Ушул үчөө дал келгенде гана нускаманы түзөтүүгө татыктуу. Эрте түзөтүү кайсы катмар туура эмес болгонун жашырат.