Firwat en OpenVPN-Profil sech net an SoftEther importéiere léisst

Zwee Fichieren, déi allebéid wéi eng VPN-Konfiguratioun ausgesinn, landen am selwechte Dossier, an nëmmen een dovun funktionéiert. Den OpenVPN-Profil beschreift en TLS-Tunnel mat Direktiven, déi dee Client verstitt, wärend eng SoftEther-Verbindung eng Sessioun géint en virtuelle Hub mat engem aneren Authentifizéierungskontrakt beschreift. Dat een an dat anert ëmzewandelen ass keng Formatéierungsübung, well déi zwee Clienten net deeselwechte Protokoll ëmsetzen. D'Fro, wéi en Déngscht den Bedreiwer tatsächlech publizéiert huet, entscheet alles wat duerno kënnt.

Zwee Fichieren, zwee Kontrakter

En OpenVPN-Profil ass eng Client-Konfiguratioun: en ewele Endpunkt, en Transport, TLS-Material an Direktiven fir Routing an Neiverhandlung. Eng SoftEther-Verbindung ass eng nativ Client-Sessioun géint en virtuelle Hub, mat engem virtuelle Adapter deen drun hänkt.

Si kënnen den Zougang zum selwechte Reseau beschreiwen, ouni auswiesselbar ze sinn. Den OpenVPN-Lauschterer ass eng Kompatibilitéitsfunktioun, déi de Server op engem separaten Port publizéiere kann, an hie schwätzt OpenVPN amplaz vum nativen Protokoll. Den nativen Client schwätzt den nativen Protokoll an erwaart säin eegene Profil. Een Server, zwou Diiren, an all Dier huet hire eegene Schlëssel.

D'Dateierweiderung seet Iech bal näischt, dofir ass d'Äntwert vum Bedreiwer wichtege wéi den Numm vum Fichier.

Liest de Server, ier Dir e Certificatsblock beréiert

Frot de Bedreiwer dräi Saachen: wéi en Port an Transport, wéi eng Authentifizéierungsmethod a wéi e Client si erwaarden datt Dir benotzt. Dës Äntwerten huelen de gréissten Deel vum Rotschn aus.

Bestätegt duerno, wat tatsächlech lauschtert, an net wat eng Uleedung behaapt. En deaktivéierte Kompatibilitéits-Lauschterer weist näischt op sengem Port, an en aktivéierten weist eng Socket och wann nach ni een verbonnen huet. Den Ënnerscheed tëscht engem zouenen Port an enger refuséierter Umeldung ass déi éischt nëtzlech Diagnos. Alles duerno hänkt dovun of, u wéi eng Dier geklappt gouf.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

En UDP-Port, deen an der Lauschtererlëscht feelt, ass eng deaktivéiert Funktioun an net e Problem mat der Firewall.

Wat den nativen Client brauch an e Profil him net kann ginn

Den nativen Client installéiert en virtuellen Reseauadapter a bënnt eng Verbindung un en. Ouni deen Adapter gëtt et keng Interface fir ze routeren, dofir kann eng nativ Verbindung sech authentifizéieren an trotzdeem keen Trafic droen.

Déi nativ Authentifizéierung leeft géint en virtuelle Hub, mat engem Benotzerobjekt, deen den Hub-Administrateur ugeluecht huet. Certificatsbléck, déi aus engem OpenVPN-Profil kopéiert goufen, gi keng Hub-Benotzer, an e Hub-Benotzer gëtt kee Client-Certificat. Déi zwee Systemer späicheren ënnerschiddlech Saachen, an e Profil huet néierens Plaz fir den Benotzergerät vum Hub. Dat ass e strukturellen Ënnerscheed an net e Syntaxproblem.

Halt de private Schlëssel aus all Konvertéierungsdéngscht eraus, well e Schlëssel, deen d'Maschinn verléisst, muss als opgedeckt behandelt ginn.

Wat den OpenVPN-kompatibele Lauschterer unhëlt

Den Kompatibilitéits-Lauschterer ass aus der Siicht vum Client en echte OpenVPN-Server: hie erwaart en OpenVPN-Client an d'Direktiven, déi dee Client ënnerstëtzt. Inline-Certificatsbléck sinn eng OpenVPN-Funktioun, an si gehéieren op déi Säit vum Zonk.

Wat hien net mécht, ass en nativen SoftEther-Profil unzehuelen, well dee Profil keng OpenVPN-Konfiguratioun ass. Den Nauschterer mécht och keen OpenVPN-Client aus dem nativen Client. Wann de Bedreiwer nëmmen den nativen Déngscht ubitt, ass d'Äntwert den nativen Client; wann hien de Kompatibilitéits-Lauschterer ubitt, ass d'Äntwert OpenVPN a säin eegene Material.

Frot no dem ënnerstëtzten Export vum Bedreiwer amplaz een aus Fragmenter zesummenzebauen, well den Export Detailer dréit, déi ee vu Hand gebaute Fichier normalerweis iwwersäit.

Beweist de Wee, ier Dir Direktiven ännert

Soubal de Client gewielt ass, test den Tunnel, ier Dir Routen beréiert. Eng erfollegräich Umeldung an eng Interface, déi Trafic dréit, sinn zwee verschidde Resultater.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Vergläicht déi zougewisen Adress mat dem Pool, deen de Bedreiwer beschriwwen huet, a kuckt duerno getrennt op Routen a Resolver. Eng nativ Hub-Verbindung kann sech propper authentifizéieren an iwwerhaapt keng Route installéieren, wat aus Client-Siicht wéi en immune Tunnel ausgesäit. Eréischt wann déi dräi iwwerenee stëmmen, lount sech eng Direktiv z'änneren. Fréier änneren verstoppt, wéi eng Schicht falsch war.