Netgear OpenVPN: TUN an TAP lauschteren op verschidde Porten

En Telefon verbënnt sech ouni Beschwerde mam VPN vum Router, an e Laptop, deen e Profil vun der selwechter Downloadsäit benotzt, leeft an en Timeout. Un den Zertifikater huet sech tëschent dësen zwou Versich näischt geännert, well de Laptop ni de Punkt erreecht huet, wou Zertifikater eng Roll spillen. De Router publiciséiert getrennte Lauschterer fir TUN an TAP, an e funktionéierende Profil muss deen auswielen, deen zum eegene Gerättyp gehéiert.

Decidéieren, wéi engem vun dräi méiglechen Feeler een nogeet, ass hei déi ganz Aarbecht: de Port, den Gerättyp oder d'Cipher-Verhandlung vum Datenkanal.

Dräi Saachen, déi mussen iwwerenee kommen

Den Gerättyp, d'Interface-Linn vum Profil an de Lauschterer-Port bilden eng Wiel, net dräi. E Profil, deen dev tun deklaréiert an op de TAP-Lauschterer zilt, kann d'Sessioun net fäerdeg maachen, an ëmgedréint feelt et identesch. Fir Äre Modell an Är Firmware liest de Port op der eegener VPN-Säit vum Router an net an engem Guide, well d'Zuelen tëschent Builds wiesselen. Schreift de Modell an d'Firmware-Versioun niewent där Zuel op, sou datt déi nächst Persoun et iwwerpréiwe kann.

Rapporte vum Terrain ernimmen e Puer wéi 12973 fir TUN an 12974 fir TAP op enger Firmware, an eng aner Zuel op enger anerer. Liest se als Beweis, datt d'Builds sech ënnerscheeden, net als Constants zum Kopéieren. De Profil brauch duerno den offstandsgerechten Hostname: den dynameschen DNS-Numm vum Router amplaz vun enger WAN-Adress, déi sech ännert.

Nom Korrigéiere vum Port an der Interface-Linn gesäit de Profil aus wéi eng normal Client-Konfiguratioun mat enger remote-Linn an enger dev-Linn. Wa béid net iwwerenee stëmmen, bréngt keng Quantitéit Widderhuelen eng Sessioun.

Liest de Log an der Uerdnung, an där en ausgegëtt gëtt

En OpenVPN-Client mellt Evenementer an der Uerdnung, an där se geschéien, sou datt déi lescht Linn virun der Stëllt d'Schicht bezeechent, déi ze préiwen ass. Wann de Laf bei TLS Error: TLS key negotiation failed ophält, oder einfach op eng éischt Äntwert waart an opgëtt, huet en Zertifikatsvergläich ni stattfonnt. Dat deit op Erreechbarkeet, op de Lauschterer oder op e Port ouni eppes hannendrun. Naischt dovun gëtt duerch den Ersatz vun der CA-Datei reparéiert.

E Laf, deen VERIFY OK erreecht an duerno feelt, sëtzt ganz anescht, mat sengen eegene Ursaachen. Dës zwou Resultater ze trennen, ier Dateien ugegraff ginn, verhënnert den typeschen Ëmwee iwwer Zertifikatsbündelen, déi ni gefrot goufen. Wann den Handshake fäerdeg ass, awer den Tunnel net eropkënnt, kuckt op d'Cipher-Verhandlung amplaz op d'Erreechbarkeet.

Setzt d'Cipher-Lëscht derbäi, déi en moderne Client erwaart

Rezent OpenVPN-Cliente refuséieren eeler Standardwäerter, déi Konsumenter-Firmware nach ëmmer ubitt, an de Symptom ass eng Verhandlungsfeeler direkt nom erfollegräichen Handshake. D'Korrektur ass eng Profil-Linn, déi nennt, wat de Client akzeptéiert: setzt data-ciphers op AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 an AES-128-CBC an därer Uerdnung. All Algorithmus, deen de Router net ëmsetzt, gëtt simply ni ausgewielt, sou datt eng méi laang Lëscht naischt kascht wéi eng e bësse méi laang Verhandlung.

Cipheren opzelëschte léiert dem Router keen, deen en net huet. Wann d'Verhandlung nach ëmmer feelt, préift, ob d'Routersäit eng eegen Cipher-Astellungs huet an ob déi Astellung op d'mannst en Entrée enthält, deen de Client akzeptéiert. Zwou Lëschten ouni gemeinsamt Member produzéieren genau dee selwechte Feeler wéi e falschen Port, dofir verdéngen déi zwou Enner ee Bléck.

Importéiert eng Kéier amplaz Kopien vun Hand ze beaarbechten

Den Import vun der korrigéierter Datei an den NetworkManager vermeit en Dossier voller liicht ënnerschiddlecher Profilen: nmcli connection import type openvpn file client.ovpn, da maacht en nom Numm op. Hält de importéierte Profil als déi eenzeg Kopie, déi Dir beaarbecht, a läscht d'Duplikater, déi sech duerch widderholl Downloads usammelen.

Test dann vun ausserhalb vum LAN. Eng Verbindung aus dem selwechten Netz beweist ganz wéineg, well den Traffic den Tunnel woméiglech guer net duerchkräizt. Bestätegt, datt eng Ufro wierklech iwwer de Router erausgeet, net just datt de Client en verbonne Status weist.

Entscheet, wat Dir mat Warnungen maacht

Konsumenter-Firmware stempelt normalerweis seng eegen Zertifizéierungsautoritéit, an d'Cliente beschwéiere sech iwwer d'Verifizéierung op Manéieren, déi d'Firmware net ënnerdrécke kann. Beurteelt, ob déi Beschwerd fir dat wichteg ass, wat Dir schützt, amplaz all Warnung als fatal ze behandelen, a schalt d'Verifizéierung net global aus, fir eng eenzeg Noriicht stëll ze maachen. Eng Warnung, déi Dir bewäert hutt, ass e dokumentéierte Risiko; eng Verifizéierungsastellung, déi Dir deaktivéiert hutt, ass en ondocumentéierten.

Wann d'Firmware keen ënnerstëtzte Wee bitt, fir eng Warnung ze korrigéieren, déi wierklech zielt, schwätzt dës Lück dofir, de VPN soss ze hosten. D'Wiel tëschent dem Profil reparéieren, d'Warnung akzeptéieren an den Endpunkt verleeën ass eng Entscheedung driwwer, wéi vill Dir deem Zertifikat vertraut. Huelt se bewosst a schreift op, wéi eng Optioun Dir gewielt hutt, amplaz duerch Dialogen ze klicken, bis d'Ikon gréng gëtt.